黑客利用数百万路由器的新身份验证绕过漏洞

身份不明的黑客正在积极利用关键的身份验证绕过漏洞劫持家庭路由器，将它们纳入用于执行 DDoS 攻击的 Mirai 变体僵尸网络，仅在其公开披露两天后。

该漏洞被跟踪为CVE-2021-20090（CVSS 评分：9.9），该漏洞涉及带有 Arcadyan 固件的路由器Web 界面中的路径遍历漏洞，该漏洞可能允许未经身份验证的远程攻击者绕过身份验证。

国内知名网络安全组织东方联盟披露，该问题据信已存在至少 10 年，影响了 17 家不同供应商的至少 20 款机型，包括华硕、Beeline、英国电信、Buffalo、德国电信、Orange、Telstra、Telus、Verizon ，和沃达丰。

黑客成功利用该漏洞可使攻击者绕过身份验证障碍并可能获得敏感信息的访问权限，包括可用于发出更改路由器设置请求的有效请求令牌。

东方联盟网络威胁实验室上周表示，从 8 月 5 日开始，攻击者利用它来部署 Mirai 变体在受影响的路由器上，反映了今年 3 月初 Palo Alto Networks 的 Unit 42揭示的类似技术。

研究人员说：“这种相似性可能表明，这次新攻击的幕后黑手是同一个威胁行为者，并试图用另一个新披露的漏洞升级他们的渗透武器库。”

除了 CVE-2021-20090，据说黑客还利用许多其它漏洞进行攻击，例如：

CVE-2020-29557（D-Link DIR-825 R1 设备中的预认证远程代码执行）

CVE-2021-1497和CVE-2021-1498（Cisco HyperFlex HX 中的命令注入漏洞）

CVE-2021-31755（Tenda AC11 中的堆栈缓冲区溢出漏洞导致任意代码执行）

CVE-2021-22502（Micro Focus Operation Bridge Reporter 中的远程代码执行缺陷）

CVE-2021-22506（Micro Focus Access Manager 中的信息泄漏漏洞）

研究人员报告此前发现了多达 6 个已知和 3 个未知安全漏洞，这些漏洞在攻击中被利用，包括针对 SonicWall SSL-VPN、D-Link DNS-320 防火墙、Netis WF2419 无线路由器和 Netgear ProSAFE Plus 交换机的漏洞。

为避免任何潜在的危害，建议用户将其路由器固件更新到最新版本。

东方联盟研究人员表示：“很明显，黑客会密切关注所有公开的漏洞。每当发布漏洞利用 PoC 时，他们通常只需要很少的时间将其集成到他们的平台中并发起攻击”。（欢迎转载分享）

黑客利用数百万路由器的新身份验证绕过漏洞相关推荐

98.网络安全渗透测试—[常规漏洞挖掘与利用篇14]—[SESSION身份验证绕过漏洞与测试]
我认为,无论是学习安全还是从事安全的人,多多少少都有些许的情怀和使命感!!! 文章目录一.session身份验证绕过漏洞与测试 1.session机制 2.session的生命周期 3.出现漏洞的情 ...
【高危】Apache Linkis Gateway模块存在身份验证绕过漏洞（CVE-2023-27987）
漏洞描述 Apache Linkis 是一个用于将上层应用与底层数据引擎解耦,提供标准化接口的中间件.Gateway 是 Linkis 接受客户端和外部请求的主要入口点, 在 Apache Linki ...
struts2漏洞监测_Apache Shiro身份验证绕过漏洞风险提示
漏洞公告 2020年8月17日,安恒应急响应中心监测发现Apache Shiro官方更新发布了1.6.0之前版本存在身份验证绕过的漏洞公告,对应CVE编号:CVE-2020-13933,相关链接: h ...
身份验证绕过漏洞分析
0x01 前言最近Tenable 披露了Arcadyna 网络设备身份验证绕过漏洞,并且很多的厂商都采用产生漏洞的组件,由于Arcadyan 设备固件厂商并没有开源出来,在官网支持里面下载的文件是w ...
Zyxel-NBG2105（CVE-2021-3297）身份验证绕过漏洞复现
简介 Zyxel-NBG2105 存在身份验证绕过,可以通过更改 login参数可用实现以管理员身份进行后台登陆. zoomeye 漏洞验证通过右键源代码查看一下源码,这里不知道为什么不能右键,就在 ...
CVE-2022-40684 Fortinet（飞塔）身份验证绕过漏洞
GitHub地址: https://github.com/hughink/CVE-2022-40684 漏洞简介 Fortinet(飞塔)是一家全球知名的网络安全产品和安全解决方案提供商,其产品包括防 ...
【CVE-2020-1957】shiro搭配spring时身份验证绕过漏洞分析
0x00 漏洞简介 https://www.openwall.com/lists/oss-security/2020/03/23/2 0x01 漏洞分析翻查官方commit,在commit http ...
东亚银行领千万级罚单、“十四五”数字经济发展规划发布、数百万路由器受漏洞影响｜网络安全周报
2022年1月8日至1月14日共收录全球网络安全热点10项,涉及Microsoft .东亚银行等. 01 国务院印发"十四五"数字经济发展规划,网络安全地位得到提升 1月12日,国 ...
系统安全： GeneXus 新身份验证方案
GAM 是 GeneXus 访问管理器,用于在您的应用程序中实现身份验证和授权,此功能为GeneXus内置功能. 介绍前我们先了解安全和身份验证领域正在发生的事情. Auth0关于市场上可用的身份验证 ...

黑客利用数百万路由器的新身份验证绕过漏洞

黑客利用数百万路由器的新身份验证绕过漏洞相关推荐

最新文章

热门文章