زوج من العيوب في أجهزة راوتر ASUS المنزلية قد تسمح للمهاجمين بخرق الأجهزة وشن هجومات للتنصت على كل حركة المرور والبيانات التي تتدفق عبرها.
تم العثور على هذه العيوب تحديدًا في طراز Wi-Fi RT-AC1900P للمنزل، وذلك ضمن وظيفة تحديث البرامج الثابتة لجهاز التوجيه. إذ كشفت Trustwave أولا عن هذه المشكلة التي تعرض بيانات المستهلكين إلى خطر، لتقوم شركة ASUS بدورها بإرسال تحديثات تتضمن تصحيحات للأخطاء. ونحن في موقع Cyber Arabs نحث الملاك على تطبيق التحديثات في أقرب وقت ممكن.
أجهزة راوتر ASUS والعيب الأول
تنبع المشكلة الأولى (CVE-2020-15498) من عدم التحقق من الشهادة. أي أنه يتم استخدام جهاز التوجيه GNU Wget للبحث عن تحديثات البرامج الثابتة من خوادم ASUS. من الممكن تسجيل الدخول عبر SSH واستخدام “grep” الخاص بـ Linux / Unix للبحث من خلال نظام الملفات عن سلسلة محددة. وبذلك يشير هذا الأمر إلى وجود ثغرة وهي غياب شهادة التحقق.
في الإصدارات الضعيفة من أجهزة الراوتر، إن الملفات التي تحتوي على هذه السلسلة هي نصوص برمجية shell تقوم بإجراء التنزيلات من خوادم تحديث ASUS. تشير هذه السلسلة إلى عدم وجود فحص للشهادة، لذلك يمكن للمهاجم استخدام شهادات غير موثوق بها أو مزورة لفرض تثبيت الملفات الضارة على الجهاز المستهدف.
سيحتاج المهاجم إلى الاتصال بجهاز الراوتر الضعيف لتنفيذ هجوم man in the middle (MITM) ، مما يسمح له بالوصول الكامل إلى جميع حركة المرور التي تمر عبر الجهاز. بدورها، تزيل التحديثات الجديدة للجهاز هذا الخطأ من خلال عدم استخدام خيار Wget بعد الآن.
الخطأ الثاني
المشكلة الثانية (CVE-2020-15499) هي ثغرة البرمجة النصية عبر المواقع (XSS) في واجهة إدارة الويب المتعلقة بتحديثات البرامج الثابتة، طبعا بالنسبة لـ Trustwave.
إذ أوضحت الشركة أنه يمكن مهاجمة أي مسؤول عن موقع الكتروني من قبل طرف ضار، عبر استخدام أول نتائج MITM وتقييدها من خلال تنفيذ تعليمات JavaScript عشوائية.
هذا وقامت ASUS بإصلاح ذلك في أحدث البرامج الثابتة بحيث لم تعد صفحة ملاحظات الإصدار تقدم محتويات عشوائية حرفيا. فيما قامت أيضا بتصحيح المشكلات في إصدار البرامج الثابتة 3.0.0.4.385_20253.
يأتي الكشف عن هذه الأخطاء بعد أقل من أسبوعين من بروز نتائج المراجعة الأمنية لـ 127 جهاز راوتر منزلي تابعة لشركات معروفة في الأسواق العالمية، وجدت أن معظمها يحتوي على خطأ أمني واحد على الأقل. وقال الباحثون إن جميع أجهزة التوجيه التي تم فحصها تحمل عددا من العيوب وتتأثر بمئات الثغرات المعروفة بشكل دوري.
