Misfortune Cookie (Telecompromiso)

1. Información del reporte

Título: Misfortune Cookie (Telecompromiso)
Reporte ID: STIC-2017-0313
Reporte URL: http://www.fundacionsadosky.org.ar/publicaciones/#seguridad-en-tic
Fecha de publicación: 2017-06-12
Fecha de última actualización: 2017-06-13
Fabricantes contactados: Telecom Argentina
Modo de publicación: Unilateral

2. Información de vulnerabilidades

Clase: Code [CWE-17]
Impacto: Denegación de servicio, Pérdida de datos, Eludir mecanismos de seguridad
Remotamente explotable: Si
Localmente explotable: Si
Identificador CVE: CVE-2014-9222

3. Descripción de vulnerabilidad

[CVE-2014-9222]

Se encontró que la vulnerabilidad Misfortune Cookie[1] [2] puede estar presente en una cantidad importante de modems ADSL instalados en el país, mayormente en el espacio de direcciones IP asignadas a Telecom Argentina SA. Esta vulnerabilidad permite que un atacante tome el control de un dispositivo con privilegios de administrador, lo que a su vez permite atacar a otros dispositivos en la red del usuario, así como ver el tráfico de red que no esté cifrado.

4. Paquetes vulnerables

5. Información y soluciones del fabricante

Los usuarios cuyo modem ADSL sea de su proveedor de Internet pueden reclamarle al mismo un dispositivo seguro. Usuarios con algo de experiencia pueden instalar firmware actualizado o alternativo en sus modems. Para todos los usuarios, tener toda la información sensitiva cifrada y usar HTTPS en la medida de lo posible.

6. Créditos

Las vulnerabilidades fueron descubiertas e investigadas por Iván Arce y Lucas Molas. La publicación de este reporte fue coordinada por Programa Seguridad en TIC.

7. Descripción técnica

Las versiones de Allegro RomPager anteriores a 4.34 contienen una vulnerabilidad en el procesamiento de cookies conocida como Misfortune Cookie [1] que puede ser explotada para conseguir privilegios de administrador en el dispositivo. La vulnerabilidad fue subsanada por Allegro en 2005, pero todavía está presente en muchos dispositivos actuales y recientes [3]. En Marzo de 2017, Iván Arce detectó que el Allegro RomPager puede no estar escuchando en el port 7547 como es normal, sino en el 30005. Lucas Molas realizó un relevamiento de las IPs de Argentina para detectar si en algunas estaba corriendo el RomPager y qué versión era, lo que nos llevó a descubrir que hay cerca de 220.000 modems potencialmente vulnerables a MisfortuneCookie, de los cuales cerca de 180.000 pertenecen a Telecom Argentina SA.

8. Cronología del reporte

9. Referencias

[1] Misfortune Cookie http://mis.fortunecook.ie/
[2] CVE-2014-9222 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9222
[3] Lista de dispositivos sospechosos de ser vulnerables http://mis.fortunecook.ie/misfortune-cookie-suspected-vulnerable.pdf

10. Acerca Fundación Dr. Manuel Sadosky

La Fundación Dr. Manuel Sadosky es una institución público privada cuyo objetivo es favorecer la articulación entre el sistema científico – tecnológico y la estructura productiva en todo lo referido a la temática de las Tecnologías de la Información y la Comunicación (TIC). Creada a través del Decreto Nro. 678/09 del Poder Ejecutivo Nacional, la Fundación es presidida por el ministro de Ciencia, Tecnología e Innovación Productiva. Sus vicepresidentes son los presidentes de las cámaras más importantes del sector TIC: CESSI (Cámara de Empresas de Software y Servicios Informáticos) y CICOMRA (Cámara de Informática y Comunicaciones de la República Argentina). Para más información visitar: http://www.fundacionsadosky.org.ar

11. Derechos de autor

El contenido de este reporte tiene copyright (c) 2017 Fundación Sadosky y se publica bajo la licencia Creative Commons Attribution Non-Commercial Share-Alike 4.0: http://creativecommons.org/licenses/by-nc-sa/4.0/