【安全】Netgear R7000/R6400等多款路由器曝遠程任意命令注入

你在用Netgear網件的路由器嗎？最近須要格外當心了，尤爲是路由器型號爲R7000和R6400的用戶——Netgear其餘型號的用戶也須要小心。CERT/CC（美國計算機緊急事件響應小組協調中心）上週五發出安全公告，建議用戶暫停使用這兩款路由器——由於這兩款路由器包含高危漏洞。Netgear其餘型號的路由器可能也受到影響，只是CERT暫未披露。Update:有研究人員測試結果顯示，漏洞影響到的路由器實際遠不止這兩款。 總得說來，即使採用最新版本固件，Netgear R700和R6400仍然可能被遠程攻擊者進行任意命令注入攻擊。到目前爲止，網件還沒有發佈修復補丁。

12.13 Update： Netgear方面已經確認了漏洞的存在性，且在其安全公告中表示R7000/R6400/R8000的確存在漏洞。不過這兩天，一名安全研究人員進行了測試 。他在測試報告中提到Netgear的Nighthawk產品線還有其餘產品也存在問題，包括了R7000、R7000P、R7500、R7800、R8500、R9000。 若是要檢查本身的Netgear路由器是否受到影響，可在本地網絡中用瀏覽器訪問： http://[router_ip_address]/cgi-bin/;uname$IFS-a 若是瀏覽器返回了任何信息，而非顯示錯誤或者沒有顯示空白頁，就代表路由器可能也存在漏洞。在不須要認證的狀況下，攻擊者就能對路由器發起CSRF攻擊——即使路由器並無將管理接口暴露在互聯網上也是徹底可行的。攻擊者惡意構造網頁後，劫持用戶瀏覽器並經過瀏覽器發出未受權請求。也就是惡意站點迫使用戶瀏覽器經過LAN來利用路由器漏洞。 實際上這個漏洞是web接口未能過濾URL中的潛在惡意命令所致。 影響範圍： Netgear R7000路由器，固件版本爲1.0.7.2_1.1.93（可能包括更早版本）； Netgear R6400路由器，固件版本爲1.0.1.6_1.0.4（可能包括更早版本）； Netgear R8000路由器，固件版本1.0.3.4_1.1.2也受影響；可能還有其餘型號受到影響。 漏洞概述： 採用以上版本固件的相應路由器存在任意命令注入漏洞。被攻擊者點擊惡意構造的網站後，遠程未受權攻擊者就能以Root權限執行任意命令；局域網內的攻擊者則可經過直接發出請求達成相似攻擊效果，如訪問：

http://<router_IP>/cgi-bin/;COMMAND 有關該漏洞的PoC詳情參見：https://www.exploit-db.com/exploits/40889/ 解決方案： 目前尚無完善的解決方案，須要等待Netgear發佈補丁。不過有一些緩解措施能夠執行： 1.禁用web服務

http://<router_IP>/cgi-bin/;killall$IFS'httpd' 在執行這一步以後，除非重啓，不然路由器的web管理操做就不可用了。 2.暫停使用 CERT仍是強烈建議用戶暫時不要再使用受影響的路由器，等待官方的修復補丁。

做爲IoT的一部分，路由器也和CCTV、DVR等設備同樣，會被攻擊者利用、令其感染惡意程序，最終成爲僵屍網絡的一部分。最近名爲BestBuy的黑客宣稱，已經控制了320萬臺家用路由器，並且還將爲這些路由器推送惡意固件更新。聽說即使重啓這些路由器也沒用，僵屍網絡大軍依舊存在。前一陣德國電信遭遇黑客攻擊，90萬臺路由器下線也依舊餘波未停。IoT的發展到底是時代的進步，仍是時代的悲哀？

漏洞利用 這個安全漏洞的利用很簡單，攻擊者只須要受害者訪問一個網站。 [size=1.1em]http:///cgi-bin/;COMMAND 其中包含特製的惡意代碼來觸發漏洞。遠程攻擊者可在目標路由器上以 root 權限執行任意命令， 基於局域網內的攻擊者能夠經過發送直接請求實現攻擊。

• 參考來源：CERT，歐陽洋蔥編譯，轉載請註明來自FreeBuf.COM