ZERO DAYS en routers Belkin aún sin parches

El CERT/CC lanzó una advertencia sobre varias vulnerabilidades ZERO DAYS que afectan al popular router Belkin N600, también hizo recomendaciones a los usuarios sobre cómo protegerse mientras se esperan las actualizaciones.

La compañía fue notificada de la vulnerabilidad en julio. Las fallas pueden ser explotadas para bloquear actualizaciones del firmware (debido a que son enviadas por HTTP), obtener privilegios de acceso a la interfaz de administración web del dispositivo y realizar ataques Cross-Site Request Forgery (CSRF).

“Un atacante remoto sin autenticación podría lanzar respuestas DNS falsas para lograr que los dispositivos contacten hosts controlados por el atacante o podría llevar a un usuario autenticado a realizar peticiones no intencionales al servidor web, las cuales serán tomadas como peticiones legítimas,” explicó Joel Land, quien descubrió las fallas. “Basado en LAN, un atacante podría evadir la autenticación para tomar control de los dispositivos vulnerables.

Las fallas afectan a los routers Belkin N600 DB Wireless Dual Band N y consecuentes, al modelo F9K1102 v2 con versión del firmware 2.10.17 y posiblemente a las anteriores.

El CERT/CC recomienda a los usuarios no permitir a hosts sospechosos conectarse a la red LAN, no navegar en Internet mientras la interfaz de administración tienen una sesión iniciada en alguna ventana del navegador e implementar contraseñas robustas para la conexión Wi-Fi y para la interfaz de administración web.

A pesar de que una de las vulnerabilidades es una evación de autenticación que permite al atacante basado en LAN acceder a la interfaz de administración web sin conocer la contraseña, una contraseña fuerte podría evitar intentos de adivinarla que pudieran establecer sesiones para lanzar ataques CSRF.

Desafortunadamente no hay soluciones inmediatas para mitigar los ataques de falsificación de DNS o los problemas con las actualizaciones de firmware a través de HTTP.

Ver infromacion original en Fuente:
http://www.seguridad.unam.mx/noticia/?noti=2471