[D-LINK] Passwords Wireless via SNMP

Continuando con la serie de post anteriores.
Dos modelos de Cablemodems de la firma D-LINK.

D-Link	DCM-604	DCM-604 <<HW_REV: C1; VENDOR: D-Link; BOOTR: 2.3.0; SW_REV: DCM604_C1_ViaCabo_1.04_20130606; MODEL: DCM-604>>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.32	iso.3.6.1.4.1.4413.2.2.2.1.5.4.2.4.1.2.32
	DCM-704	D-Link Wireless Voice Gateway <<HW_REV: B3; VENDOR: D-Link; BOOTR: 2.4.0alpha14; SW_REV: EU_DCM-704_1.10; MODEL: DCM-704>>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.32	iso.3.6.1.4.1.4413.2.2.2.1.5.4.2.4.1.2.32

ESSID:               iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.32
PASSWORD:     iso.3.6.1.4.1.4413.2.2.2.1.5.4.2.4.1.2.32

[Technicolor] Passwords Wireless via SNMP

Son muchos los modelos de cablemodems que corren el servicio SNMP.

En la entrada del hoy presento una serie de Cable-modems de la firma Technicolor. Que su agente SNMP almacena credenciales  del dispositivo en texto plano. Específicamente las Wireless.

MODEL	SYSDESC ( iso.3.6.1.2.1.1.1.0 )	ESSID	PASSWD
CGA0111	Technicolor CGA0111 Wireless/Voice Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.4.0; SW_REV: CGA0111E-ES-13-E23E-c8000r5712-170217-0829-TRU; MODEL: CGA0111>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.10001	1.3.6.1.4.1.4413.2.2.2.1.18.1.2.3.4.1.2.10001
CWA0101	Technicolor CWA0101 Wireless Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.4.0; SW_REV: CWA0101E-A23E-c7000r5712-170315-SKC; MODEL: CWA0101>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.10001	1.3.6.1.4.1.4413.2.2.2.1.18.1.2.3.4.1.2.10001
DPC3928SL	Cisco DPC3928SL DOCSIS 3.0 1-PORT Voice Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.4.0; SW_REV: D3928SL-PSIP-13-A010-c3420r55105-170214a; MODEL: DPC3928SL>>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.10001	1.3.6.1.4.1.4413.2.2.2.1.18.1.2.3.4.1.2.10001
TC7110.AR	Technicolor CableHome Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.3.1; SW_REV: STD3.38.03; MODEL: TC7110.AR>>	iso.3.6.1.4.1.2863.205.10.1.30.4.1.14.1.3.32	iso.3.6.1.4.1.2863.205.10.1.30.4.2.4.1.2.32
TC7110.B	Technicolor CableHome Gateway <<HW_REV: 2.0; VENDOR: Technicolor; BOOTR: 2.3.1; SW_REV: STC8.62.02; MODEL: TC7110.B>>	iso.3.6.1.4.1.2863.205.10.1.30.4.1.14.1.3.32	iso.3.6.1.4.1.2863.205.10.1.30.4.2.4.1.2.32
TC7110.D	Technicolor CableHome Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.3.1; SW_REV: STDB.79.02; MODEL: TC7110.d>>
TC7200.d1I	Technicolor TC7200.d1I Wireless Gateway <<HW_REV: 1.0; VENDOR: Technicolor; BOOTR: 2.4.0; SW_REV: TC7200.d1IE-N23E-c7000r5712-170406-HAT; MODEL: TC7200.d1I>	iso.3.6.1.4.1.4413.2.2.2.1.5.4.1.14.1.3.10001	1.3.6.1.4.1.4413.2.2.2.1.18.1.2.3.4.1.2.10001
TC7200.TH2v2	BFC cablemodem reference design <<HW_REV: 01.00; VENDOR: Technicolor; BOOTR: 2.4.0.r2; SW_REV: SC05.00.22; MODEL: TC7200.TH2v2>>	iso.3.6.1.4.1.2863.205.10.1.30.4.1.14.1.3.32	iso.3.6.1.4.1.2863.205.10.1.30.4.2.4.1.2.32

[Technicolor] Cisco DPC3928SL explotando un XSS via Cross Protocol Injection. (CVE-2018-20379)

Cisco DPC3928SL: En este popular equipo (ahora de Technicolor) es posible explotar un XSS. Simplemente estableciendo un SSID con algún tag que pueda invocar alguna función Javascript.

Este seteo se realizara a través del servicio SNMP.

NOTA:La imagen es ilustrativa y corresponde al modelo DPC2420, pero dado a que comparte misma estructura física con el modelo DPC3928 y ademas fue la primara imagen que me devolvió Google, fue la elegida. :)

[stringbleed] y ahora que ? ...Passwords Leaks ( CVE-2018-203580 a CVE-2018-20401)

OK, ( Stringbleed )

Y AHORA QUÉ ?.

Con la posibilidad de hacer muy fácilmente una lectura completa de la información que nos entrega SNMP, en los modelos antes presentados es posible obtener en texto plano distintas credenciales.

A continuación presentare los equipos que nos devuelven credenciales para acceder al panel web de esto dispositivos. Me refiero al aplicativo web para la gestión y administración remota del dispositivo. 

[Stringbleed] Private Networks in the WAN

Son muchos los Cablemodems que corren el servicio SNMP (protocolo simple de administración de red) que permiten cualquier nombre de comunidad y que ademas nos otorgan privilegios de administración, es decir, lectura y escritura.

Stringbleed (CVE 2017-5135) nombramos a aquellos equipos que responden a estas condiciones.

Una ultima cuenta (de referencia) nos entrega un promedio de 400K dispositivos expuestos que responden a las características de Stringbleed.

El numero de equipos afectados a bajado con respecto a lo que publique en mi ultimo post sobre el mismo tema.

Por otro lado el total de  modelos afectados así como de vendors a aumentado.

A continuación los nuevos números:

[American Power Conversion] Rack PDU; Múltiples inyecciones.

[*] Vuln;       "Multiple injections"
[*] Vendor: "American Power Conversion"
[*] Producto: "Network Management Card AOS/ Rack PDU APP"
[*] Version: "v3.5.x"

(AP7900)

# Credentials

--------------

USER: device

PASS: apc

[Zenitel] IP-StationWeb, Cross Site Script (CVE-2018-19927 & CVE-2018-19926 )

Aplicaciones web para la gestión de Telefónia IP de la firma Zenitel

Vendor: Zenitel Norway ASA
Software: 02.03.3.3 < 4.2.3.9
HW: v1

***

**

***


Credenciales por defecto (Siempre funcionan) 😈

user: admin
pass: alphaadmin

Abusando del "Preview" Telegram para conseguir una shell reversa

Asumiendo que ya han pasado por mi anterior post, voy iniciar directamente con una nueva POC, abusando de la funcionalidad del preview que nos ofrece Telegram:
(Inpirado en la idea del colega Pablo Videla  )

TELEGRAM (Siempre) In-The-Middle. (CVE-2018-20436)

Como muchos informáticos involucrados en el mundo de la seguridad informática soy un desconfiado de la tecnología. 

De las distintas opciones que existe respecto a los clientes de mensajería personalmente no confió en ninguna promesas de confidencialidad y/o privacidad .

Estoy seguro que muchos estarán de acuerdo conmigo sin embargo estas paranoias han estado carentes de evidencias que sostengan estas desconfianzas.