TP-Link SR20 라우터의 제로데이 취약점 발견

Zero-Day TP-Link SR20 Router Vulnerability Disclosed by Google Dev

TP-Link SR20 스마트 홈 라우터에서 동일한 네트워크 상의 공격자가 임의 명령어를 실행하도록 허용하는 임의 코드 실행 (ACE) 제로데이 취약점이 발견되었습니다.

 

<이미지 출처:  https://www.tp-link.com/us/about-us/corporate-profile/ > 

 
구글의 보안 관련 개발자인 Matthew Garrett는 TP-Link가 취약점을 제보한지 90일이 지나도 별다른 응답이 없어 이 ACE 제로데이 취약점을 공개하게 되었다고 밝혔습니다. 

이 제로데이는 TL-Link 라우터가 이전부터 많은 취약점들을 포함한 것으로 알려진 “TDDP (TP-Link Device Debug Protocol)"라는 프로세스를 root 권한으로 빈번히 실행하여 발생합니다.

TDDP는 두 가지 유형의 명령어 타입을 실행할 수 있습니다.

(1) 인증을 요구하지 않는 것 

(2) 관리자 인증 정보를 요구하는 것 

 

제로데이, 공격자들이 루트 권한으로 임의 코드를 실행하도록 허용

취약한 라우터는 다수의 (1)번 유형의 명령어에 노출되어 있습니다.

 

발견된 명령어 중에는 일종의 구성 유효성 검사로 보이는 명령어 0x1f와 요청 0x01이 있습니다.

 

이는 공격자들이 파일명, 세미콜론, 인수를 포함한 명령어를 보내 악성 프로세스를 시작할 수 있도록 허용합니다.

그리고 TFTP(Trivial File Transfer Protocol)를 통해 TP-Link 라우터가 기기에 특수 제작된 요청을 보내도록 지시할 수 있습니다. 

공격자의 기기에 연결되면, SR20 스마트 허브는 TFTP를 통해 파일명을 요청하고, 이를 루아(LUA) 인터프리터로 가져와 해당 인수를 파일의 config_test() 함수로 패스합니다. 

루아 인터프리터는 루트의 권한으로 실행됩니다.

다음으로, os.execute() 메서드는 인증되지 않은 공격자가 그들이 원하는 명령어를 root 권한으로 실행할 수 있도록 허용해, 해킹된 모든 TP-Link SR20 기기들을 완전히 제어할 수 있게 됩니다.

 

개념 증명(PoC)도 공개돼

TDDP 데몬이 수신하는 모든 트래픽에 대해 모든 인터페이스를 리스닝하도록 설계되었기 때문에, SR20 라우터의 디폴트 방화벽 룰은 해당 장비가 있는 LAN 네트워크 밖에서 해당 제로데이를 악용하는 공격자들을 차단할 것입니다.

Garret은 TP-Link가 제품 펌웨어에 디버그 데몬을 발송하는 것을 중지해야 하며, 보안 이슈를 제보하는 웹 양식이 있다면 누구라도 이에 응답해야 할 것이라고 말했습니다.

이 구글 개발자는 PoC 또한 제작하여 제로데이와 함께 공개했습니다.

SR20 스마트 홈 라우터의 가장 최종 펌웨어 업데이트는 2018년 6월이었습니다. TP-Link는 아직까지 아무런 답변을 내놓지 않고 있습니다.

 

출처:
https://www.bleepingcomputer.com/news/security/zero-day-tp-link-sr20-router-vulnerability-disclosed-by-google-dev/
https://pastebin.com/GAzccR95