Kritische Sicherheitslücken in Draytek-Geräten erlauben Systemübernahme

In vielen Modellen der Vigor-Serie klaffen Sicherheitslücken, die unter Umständen die komplette Übernahme der Geräte durch Angreifer erlauben, warnt der Dienstleister Forescout. Experten des Unternehmens hatten die Firmware der Geräte analysiert und waren dabei auf teils kritische Fehler gestoßen.

In ihrem Report gehen die Forscher mit Vigor hart ins Gericht. So sei die hohe Defektdichte an wenigen Stellen der Firmware auffällig – ausgerechnet bei CGI-Skripten (Common Gateway Interface), die über die Web-Schnittstelle der Router häufig sogar aus dem Internet aufgerufen werden könnten. Das Betriebssystem DrayOS läuft entweder direkt auf dem Router oder wird mittels QEMU emuliert – etwa auf Draytek-Routern der 391x-Serie.

Die Forscher analysierten den DrayOS-Kernel und stolperten zunächst über fehlende Sicherheitsmaßnahmen wie Stack-Canaries, ASLR (Address Space Layout Randomization) oder PIE (Position Indepedent Executable). Zudem fehlt den DrayOS-Kernels das NX-Bit, das die Ausführung von Code auf dem Stack oder Heap verhindert. Die Sicherheitslücken auszunutzen, wurde dadurch für die Analysten zu einer bloßen Fingerübung.

Vigor-ose Fehlersammlung

Unter den gefundenen Sicherheitslücken stechen CVE-2024-41592 und CVE-2024-41585 hervor. Erstere, ein Buffer Overflow, ermöglicht Dienstverhinderung (DoS) und Codeschmuggel und ist aus der Ferne ausnutzbar – sie erntet damit die CVSS-Höchstwertung 10. Sie teilt sich die kritische Risikoeinstufung mit der zweiten, jedoch etwas ungefährlicheren (CVSS 9,1) Lücke, die nicht nur die Ausführung beliebiger Kommandos ermöglicht, sondern auch den Ausbruch aus der QEMU-VM in der DrayOS läuft.

Auf den Rängen finden sich:

• Eine vollständige Systemübernahme (CVE-2024-41589, CVSS 7,5, hoch),
• verschiedene Cross-Site-Scripting-Angriffe mit hohem und mittlerem Schweregrad (CVE-2024-41591, CVE-2024-41587, CVE-2024-41583, CVE-2024-41584),
• Ein halbes Dutzend DoS-Lücken, die teilweise auch Codeschmuggel ermöglichen (CVE-2024-41588, CVE-2024-41590, CVE-2024-41586, CVE-2024-41596, CVE-2024-41593, CVE-2024-41595, Risiko jeweils hoch) und
• ein Man-in-the-Middle-Angriff aufgrund falsch gewählter OpenSSL-Parameter, der zur Preisgabe geschützter Informationen führen kann (CVE-2024-41594, Risiko hoch)

Draytek hat alle Sicherheitslücken mit neuen Firmware-Versionen behoben. Gemäß der Forescout-Analyse sind 24 Routertypen für die Sicherheitslücken anfällig; eine genaue Auflistung nebst Versionsnummer der reparierten Firmware findet sich im Report. Fast die Hälfte der betroffenen Geräte wird nicht mehr hergestellt (EoL), ist aber dennoch offenbar im Einsatz. Und das im Unternehmensumfeld: Drei Viertel der betroffenen Gerätetypen seien für den Einsatz in kleinen oder mittleren Unternehmen gedacht, so Forescout.

Sicherheitslücken in Heimroutern gehören zu den beliebtesten Einfallstoren für Angreifer. Diese versehen die Geräte mit Hintertüren, um sie als Sprungbrett für Angriffe, als kostenlose Krypto-Bergwerke oder als Spamschleudern zu nutzen. Ein mutmaßlich durch chinesische Regierungsstellen betriebenes Botnet, dem auch Draytek-Router angehörten, schalteten US-Behörden erst kürzlich ab. Die dort missbrauchten Vigor-Geräte hatten die Angreifer jedoch mit einem Exploit für ältere Sicherheitslücken unter ihre Kontrolle gebracht.

(cku)