CVE-2021-27141

FiberHome HG6245D — zakodowane na stałe klucze XOR do ochrony poświadczeń

CVSS 9.8v3.1pub. 2021-02-10upd. 2024-11-21

Urządzenia FiberHome HG6245D przechowują poświadczenia w pliku /fhconf/umconfig.txt, które są zaciemnione jedynie prostym algorytmem XOR z zakodowanym na stałe kluczem. Ponieważ klucz jest znany i niezmienny, każdy atakujący może natychmiast odszyfrować wszystkie poświadczenia zawarte w tym pliku.

▸ Pokaż oryginał (EN)

An issue was discovered on FiberHome HG6245D devices through RP2613. Credentials in /fhconf/umconfig.txt are obfuscated via XOR with the hardcoded *j7a(L#yZ98sSd5HfSgGjMj8;Ss;d)(*&^#@$a2s0i3g key. (The webs binary has details on how XOR is used.)

🤖 Analiza AI

Jak działa

Producent zastosował obfuskację poświadczeń metodą XOR przy użyciu statycznego, zakodowanego na stałe klucza: *j7a(L#yZ98sSd5HfSgGjMj8;Ss;d)(*&^#@$a2s0i3g. Szczegóły algorytmu XOR zawarte są w binarnym pliku 'webs' znajdującym się na urządzeniu. Ponieważ klucz nigdy się nie zmienia i jest identyczny dla wszystkich egzemplarzy urządzenia, operacja deszyfrowania jest trywialna — wystarczy wykonać operację XOR na zawartości pliku konfiguracyjnego z tym samym kluczem, aby uzyskać czytelne poświadczenia.

Skutki

Atakujący, który uzyska dostęp do pliku /fhconf/umconfig.txt, może natychmiast odzyskać wszystkie poświadczenia w postaci jawnej. Prowadzi to do całkowitego przejęcia kontroli nad urządzeniem, w tym możliwości modyfikacji konfiguracji sieci, naruszenia poufności i integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do urządzenia wyłącznie do zaufanych adresów IP oraz izolację urządzenia od nieautoryzowanych sieci.

Kogo dotyczy

Urządzenia FiberHome HG6245D z oprogramowaniem sprzętowym (firmware) do wersji RP2613 włącznie.

Uwagi

Szczegółowy opis algorytmu deszyfrowania oraz dowód koncepcji (proof of concept) zostały opublikowane przez badacza Pierre'a Kima w blogu z dnia 12 stycznia 2021 roku, co czyni exploit publicznie dostępnym.