Pierre Kim

Existe um problema de inclusão de arquivo local não autenticado, permitindo que atacantes remotos leiam arquivos arbitrários. Ao manipular o parâmetro `path` no endpoint 'installed emanual down.html', os atacantes podem usar sequências de travessia de diretório para acessar arquivos fora do diretório de manual pretendido, como /etc/passwd, arquivos de configuração do sistema e arquivos de coredump contendo credenciais. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 30-07-2024.

O problema diz respeito à interface web dos dispositivos afetados, que foi projetada para ocultar as credenciais LDAP dos usuários administrativos. No entanto, quando a autenticação LDAP está configurada como “SIMPLE”, o dispositivo se comunica com o servidor LDAP em texto simples, permitindo que a senha LDAP seja recuperada a partir dessa comunicação.

O problema está relacionado ao processamento incorreto de alguns parâmetros do arquivo `installed emanual list.html`, o que leva a uma vulnerabilidade de traversal de caminho. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Existem várias contas ocultas, algumas das quais destinadas a engenheiros de manutenção. Com o conhecimento de suas senhas, essas contas podem ser usadas para reconfigurar o dispositivo. As senhas podem ser obtidas através da análise do coredump.

A vulnerabilidade permite que a autenticação de administrador seja contornada usando credenciais inválidas específicas, concedendo privilégios administrativos. O recurso telnet, implementado em modelos mais antigos, deverá ser removido por meio de uma atualização de firmware.

O problema está relacionado a uma desreferência de ponteiro NULL no aplicativo telnetd, que pode ocorrer por meio de sequências específicas de bytes, como 0xff 0xf7 ou 0xff 0xf8. Em uma instalação típica, o aplicativo telnetd entraria em falha, mas o serviço telnet permaneceria disponível por meio do inetd. No entanto, se o aplicativo telnetd sofrer muitas falhas em um curto intervalo de tempo, o serviço telnet ficaria indisponível após o inetd registrar um erro “falha no servidor telnet/tcp (looping), serviço encerrado”.

O problema é uma vulnerabilidade de execução remota de código. Um invasor mal-intencionado com acesso à sub-rede imediata pode potencialmente explorar essa vulnerabilidade, levando à divulgação de informações e a uma possível elevação de privilégios.

O problema está relacionado à falta de sanitização de dados de entrada na plataforma Yealink Device Management, permitindo que um invasor remoto execute comandos arbitrários como usuário root. Especificamente, o endpoint da API “/sm/api/v1/firewall/zone/services” está vulnerável à injeção de comandos sem a necessidade de autenticação.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi descoberta uma vulnerabilidade no daemon web dos dispositivos FiberHome HG6245D, onde estão presentes credenciais codificadas para um ISP. As credenciais são `f~i!b@e#r$h%o^m*esuperadmin / s(f)u h+g|u`. Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais codificadas para credenciais seguras como uma solução temporária, até que um patch esteja disponível. Restrinja o acesso ao daemon web para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Dispositivos FiberHome HG6245D até a versão RP2613 Descrição: Foi identificada uma falha em que as credenciais no arquivo `/fhconf/umconfig.txt` são ofuscadas por meio da operação XOR com uma chave codificada. O binário `webs` contém detalhes sobre como a operação XOR é utilizada para ofuscação. Recomendações: Para dispositivos FiberHome HG6245D até a RP2613, considere restringir o acesso ao arquivo `/fhconf/umconfig.txt` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha em que o daemon da web contém credenciais de administrador e lnadmin codificadas de forma rígida para um provedor de internet (ISP). Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais padrão de admin e lnadmin para credenciais personalizadas e seguras como uma solução temporária. Restrinja o acesso ao daemon web para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi identificada uma falha pela qual senhas e cookies de autenticação são armazenados em texto simples nos logs HTTP do arquivo `web.log`. Isso permite a possível recuperação de informações confidenciais. Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere restringir o acesso ao arquivo `web.log` para minimizar o risco de exploração. Como solução temporária, desative o armazenamento de informações confidenciais nos logs HTTP até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Dispositivos FiberHome HG6245D até a versão RP2613 Descrição: Foi detectada uma falha em que o gerenciamento web dos dispositivos é realizado via HTTPS, utilizando uma chave privada codificada com permissões 0777. Recomendações: Para dispositivos FiberHome HG6245D até a versão RP2613, considere restringir o acesso à interface de gerenciamento web até que uma correção esteja disponível. Como solução alternativa temporária, restrinja as permissões da chave privada codificada para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha em que o daemon da web contém credenciais `user` / `user1234` codificadas de forma rígida para um provedor de internet. Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais codificadas como uma solução temporária e aplique um patch, se disponível, para remover as credenciais `user` / `user1234` codificadas.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha em que o daemon web nos dispositivos afetados contém credenciais de um provedor de internet (ISP) que coincidem com a última parte do endereço MAC da interface br0. Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais padrão para impedir o acesso não autorizado e restrinja o acesso ao daemon web até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha em que o daemon da web contém credenciais `trueadmin` / `admintrue` codificadas de forma rígida para um provedor de internet (ISP). Isso afeta os dispositivos FiberHome HG6245D. Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais `trueadmin` / `admintrue` codificadas para credenciais seguras, a fim de impedir o acesso não autorizado. Como solução temporária, restrinja o acesso ao daemon da web até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha no daemon web dos dispositivos afetados, na qual estão presentes credenciais de administrador predefinidas, especificamente o nome de usuário ‘admin’ e a senha ‘G0R2U1P2ag’, que são utilizadas por um provedor de internet (ISP). Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais de administrador codificadas para credenciais seguras como uma solução temporária e aguarde orientações adicionais do fabricante para uma correção permanente.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha no daemon web dos dispositivos afetados, na qual são utilizadas credenciais predefinidas `gestiontelebucaramanga / t3l3buc4r4m4ng42013` para um provedor de internet (ISP). Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais codificadas para credenciais seguras, a fim de impedir o acesso não autorizado. Como solução temporária, restrinja o acesso ao daemon web até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas: FiberHome HG6245D, versões até RP2613 Descrição: Foi detectada uma falha em que o daemon da web contém credenciais de administrador e CUadmin codificadas de forma rígida para um provedor de internet (ISP). Recomendações: Para as versões do FiberHome HG6245D até a RP2613, considere alterar as credenciais padrão de admin e CUadmin para credenciais personalizadas e seguras como uma solução temporária. Restrinja o acesso ao daemon da web para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Dispositivos FiberHome HG6245D até a versão RP2613 Descrição: Foi detectada uma falha em que o daemon da web contém credenciais predefinidas `adminpldt` / `z6dUABtl270qRxt7a2uGTiw` para um provedor de internet (ISP). Recomendações: Para dispositivos FiberHome HG6245D até a RP2613, considere alterar as credenciais de administrador codificadas para credenciais únicas e seguras, a fim de impedir o acesso não autorizado. Como solução temporária, restrinja o acesso ao daemon da web até que uma solução mais permanente esteja disponível.