Vulnerabilitatea DHCP din TP-Link permite preluarea controlului asupra routerelor

O vulnerabilitate de securitate a fost descoperită în routerele TP-Link VN020-F3v(T) cu versiunea de firmware TT_V6.2.1021 Atacatorii ar putea prelua controlul dispozitivelor de la distanță, ducând la atacuri DoS sau chiar atacuri RCE.

Vulnerabilitatea, identificată drept CVE-2024-11237, permite atacatorilor să exploateze o eroare de tip stack-based buffer overflow prin trimiterea de pachete DHCP DISCOVER malițioase, ceea ce poate cauza blocarea routerului și incapacitatea de a răspunde.

Aceasta afectează serverul DHCP care operează pe portul UDP 67 și nu necesită autentificare pentru exploatare. Impactul acestei vulnerabilități constă într-un atac de tip Denial of Service (DoS) cu un atac de executare de cod de la distanță (RCE).

Vulnerabilitatea provine dintr-o eroare în modul în care routerul procesează opțiunile DHCP Hostname și Vendor-Specific. Mai exact, routerul nu gestionează în mod corespunzător intrările de dimensiuni prea mari sau malformate, ceea ce duce la erori de tip buffer overflow.

În special, atacatorii pot trimite un pachet DHCP DISCOVER malițios ce conține un nume de host excesiv de lung sau opțiuni manipulate specifice furnizorului, declanșând în mod direct eroarea.

 Atacatorii pot exploata vulnerabilitățile din procesarea DHCP a unui router prin diverse tehnici. Una dintre metode implică trimiterea unei cereri DHCP cu un nume de gazdă excesiv de lung, care depășește 127 de caractere, ceea ce poate duce la o eroare de tip buffer overflow. Această eroare poate suprascrie locații de memorie critice, putând provoca blocarea dispozitivului.

O altă tehnică vizează manipularea opțiunilor specifice furnizorului în cadrul pachetului DHCP. Prin elaborarea cu atenție a acestor opțiuni și crearea unei nepotriviri între lungimea pretinsă și cea reală a datelor opțiunii, atacatorii pot exploata vulnerabilitatea pentru a perturba funcționarea routerului.

În plus, pot fi exploatate diferențele dintre lungimea pretinsă și cea reală a pachetelor, ceea ce duce la coruperea memoriei și la destabilizarea suplimentară a dispozitivului.

Până în prezent, TP-Link nu a lansat o actualizarea oficială pentru a remedia vulnerabilitatea. Între timp, utilizatorii sunt sfătuiți să ia următoarele măsuri de atenuare pentru a reduce riscul de exploatare:

• Dezactivați serverul DHCP: Dacă serviciul DHCP nu este necesar, utilizatorii îl pot dezactiva în setările routerului pentru a preveni atacurile.
• Implementați filtrarea traficului DHCP: Administratorii de rețea pot filtra traficul DHCP la limita rețelei pentru a bloca pachetele malițioase.

• Luați în considerare rutere alternative: Dacă este posibil, luați în considerare migrarea la modele alternative de routere care nu sunt afectate de această vulnerabilitate.

Sursă: https://cybersecuritynews.com/tp-link-dhcp-vulnerability/