Atakujący mogą przejąć kontrolę nad milionami ruterów poprzez wysłanie specjalnie przygotowanego zapytania do RomPager, wbudowanego serwera Web uruchomionego na ruterach. Problem bezpieczeństwa dotyczy wielu modeli ruterów, pochodzących od różnych producentów. Luka bezpieczeństwa pozwala atakującemu na zdalne przejęcie kontroli nad urządzeniem poprzez Internet. Z wykorzystaniem podatności, atakujący może użyć rutera przykładowo w celu nasłuchiwania przychodzącego i wychodzącego ruchu. Zaatakowany ruter może także umożliwiać wejście do wnętrza sieci i wykonywanie ataków przeciw innym systemom. Możliwe jest także przeprowadzanie ataku MITM (Man In The Middle) w celu ataku na bezpieczne połączenia SSL, a także przechwycenie ustawień DNS w celu podmiany odniesień do zaufanych witryn.

RomPager jest serwerem Web, rozwijanym przez firmę Allegro Software Development. Produkt jest przeznaczony do zastosowania w ruterach i innym sprzęcie sieciowym. Oprogramowanie sprzedawane jest głównie dla producentów układów elektronicznych, którzy dołączają ten element do zestawu kodów SDK (Software Development Kit). RomPager wykorzystywany jest następnie przez producentów ruterów, podczas tworzenia i rozwijania oprogramowania urządzeń. Przykładem zastosowania oprogramowania jest wewnętrzny interfejs administracyjny, bazujący na usłudze Web.

Zobacz również:

• Cyberwojna trwa na Bliskim Wschodzie

Nowe zagrożenie zostało odkryte przez badaczy z Check Point Software Technologies. Zostało nazwane Misfortune Cookie i może być śledzone jako CVE-2014-9222 w ramach bazy „Common Vulnerabilities and Exposures”. Można je wykorzystać wysyłając specjalnie przygotowanego zapytanie do serwera RomPager. Zapytanie zawiera ciasteczko HTTP (cookies) pozwalające oszukać urządzenie, które powiąże aktualną sesję z uprawnieniami administracyjnymi. Atakujący otrzymuje uprawnienia administratora i może wykonać dowolne operacje na ruterze.

Szczególnie narażone są urządzenia, które udostępniają interfejs administracyjny rutera przez Internet. Atak może zostać jednak przeprowadzony nawet w przypadku, gdy interfejs administracyjny urządzenia nie jest zdalnie dostępny. Wiele ruterów, szczególnie przekazywanych klientom przez ISP, zostało skonfigurowanych do nasłuchiwania na zapytania połączeń przychodzących na porcie 7547. Na tym porcie działa protokół zarządzania nazwany TR-069 lub CWMP (Customer Premises Equipment WAN Management Protocol). ISP wysyła zapytanie na urządzenie klienta na port 7547 lub inny prekonfigurowany numer portu, gdy zamierza zmusić urządzenie do zainicjowania zwrotnego połączenia do serwera ACS (Auto Configuration Servers). ISP wykorzystuje serwery ACS do rekonfiguracji urządzeń klientów, monitorowania błędów lub podejrzanej aktywności, uruchomienia diagnostyki, a także aktualizacji oprogramowania urządzenia. Inicjacyjne zapytanie TR-069 na port 7547 jest przetwarzane przez wbudowany serwer Web, którym często jest RomPager. Błąd Misfortune Cookie może być wykorzystany więc niezależnie od faktu, czy interfejs administracyjny rutera jest dostępny przez Internet czy nie. Misfortune Cookie nie jest jednak zagrożeniem przypisanym do TR-069/CWMP. Błąd dotyczy dowolnej implementacji usług wykorzystujących starszych wersji RomPager, pracujących na portach 80, 8080, 443, 7547 i innych.