Peneliti Temukan Kerentanan RCE di Router D-Link

Cyberthreat.id - Baru-baru ini dua peneliti keamanan Miguel Mendez Zuniga dan Pablo Pollanco dari Telefonica Chile menemukan exploit Proof-of-Concept (PoC) untuk eksekusi perintah jarak jauh (remote code execution/RCE) dan kerentanan yang mengungkapkan informasi sehingga mempengaruhi banyak router D-Link.

Zuniga dan Pollanco menerbitkan temuannya di Medium, rincian teknis dari kerentanan diberikan dalam dua postingan bersama dengan video PoC.

Salah satu kelemahannya adalah kesalahan eksekusi RCE yang dilacak sebagai CVE-2019-17621, yang berada dalam kode yang digunakan untuk mengelola permintaan UPnP.

Kerentanan dapat di eksploitasi oleh penyerang tidak terauthentikasi untuk mengendalikan perangkat yang rentan. Kerentanan hanya dapat dieksploitasi oleh penyerang yang punya akses ke segmen jaringan area lokal yang sama dari perangkat yang rentan.

"Kerentanan RCE ditemukan dalam kode yang digunakan untuk mengelola permintaan UPnP," tulis postingan para ahli dilansir Security Affairs, Jumat (3 Januari 2020).

Para ahli kemudian menerbitkan analisis dan kode eksploitasi Metasploit pada GitHub (Router D-LINK RCE).

"Kerentanan keamanan asli yang diajukan di bawah CVE-2019-17621 dan CVE-2019-20213 dengan respons asli D-Link yang ditemukan di sini, memungkinkan pengguna jahat melakukan RCE tanpa lisensi di Sisi LAN (di rumah)."

"Agar eksploitasi keamanan ini dapat di eksekusi, pengguna jahat harus mendapatkan akses ke akses LAN-side atau in-home ke perangkat yang mempersempit risiko serangan. Terlepas dari apa pun, kami menyetujui laporan pihak ketiga, pastikan dan dirilis tambalan (patch) untuk menutup masalah ini," demikian keterangan peneliti tersebut.

D-Link telah diberitahu perusahaan pihak ketiga tentang cacat ini pada pertengahan Oktober, tetapi penasehat keamanan perusahaan awalnya hanya mengidentifikasi keluarga router DIR-859 sebagai kerentanan. Kemudian, vendor memperbarui saran dan memasukkan puluhan model D-Link DIR dalam daftar perangkat yang rentan.

Kerentanan lainnya adalah masalah pengungkapan informasi yang dapat dieksploitasi oleh penyerang untuk mendapatkan file konfigurasi VPN perangkat, yang berpotensi mengekspos informasi sensitif.

“Fungsi phpcgi_main () dijalankan sebagai titik masuk biner phpcgi (yang, pada kenyataannya, adalah tautan simbolis ke biner / htdocs / cgibin). Fungsi ini memproses semua permintaan HTTP dari jenis HEAD, GET atau POST, yang ekstensi file yang diminta adalah php, asp, dll. Selain itu, ia memperoleh dan memproses parameter yang diatur dalam URL, membuat string (dalam bentuk “KEY = value”) dan meneruskannya ke penerjemah PHP."

"Karena kesalahan dalam pemrosesan badan permintaan, dimungkinkan untuk mem-bypass otentikasi yang diperlukan oleh perangkat saat mengakses file PHP tertentu, dengan mengirimkan permintaan HTTP yang dibuat khusus."

D-Link telah merilis pembaruan firmware menanggapi kerentanan terhadap beberapa perangkat yang terkena dampak dan harus segera merilis perbaikan untuk perangkat yang tersisa. Beberapa model kerentanan yang masa berlakunya sudah habis tidak akan menerima tambalan lagi.