CVE-2024-57725：特定のArcadyanルーター（OrangeおよびJazztelが配布）におけるGPONリンク操作の脆弱性

このリポジトリは、スペインのOrangeおよびJazztelが配布するLiveboxFibra Arcadyanルーター（PRV3399B_B_LT）で発見された認証不要の脆弱性を文書化したものです。この問題は、認証なしで/cgi/cgi_authpage.jsおよび/firstconnection.cgiエンドポイントを介してGPONリンク値を抽出・変更できることにあります。

脆弱性の詳細

影響を受けるエンドポイント

1. /cgi/cgi_authpage.js

   • slid_valueパラメータを公開します。これには16進数形式のGPONリンク値が含まれています。これは認証なしでアクセス可能であり、情報漏えいにつながります。

2. /firstconnection.cgi

   • GPONリンク値の認証不要の変更を許可します。攻撃者は以下を行うことができます：
     • 巧妙に細工されたPOSTリクエストを送信してGPONリンクを変更し、ルーターのインターネット接続を妨害することでサービス拒否（DoS）を引き起こします。

影響

• 情報漏えい: 認証なしでGPONパスワードを抽出できます。
• サービス拒否: GPON値を不正に変更すると、ルーターがインターネットから切断される可能性があります。
• 攻撃ベクトル: 攻撃者はローカルネットワークへのアクセス権を持つか、ルーターの認証パネルがインターネットに公開されている、またはVPNトンネル経由でアクセス可能な状態を悪用する必要があります。

悪用手順

GPONパスワードの抽出

1. エンドポイントにアクセスします：
   root@kitploit:~

   https://<router-ip>/cgi/cgi_authpage.js
   

2. JSONレスポンス内のslid_valueパラメータを見つけて、16進数形式のGPONパスワードを取得します。

GPONパスワードの変更

1. /firstconnection.cgiに以下のペイロードを含むPOSTリクエストを送信します：
   root@kitploit:~

   GO=firstconnection.htm&pws=<BASE64_HEX_GPON_PWD>&GO=firstconnection.htm
   

   <BASE64_HEX_GPON_PWD>を、16進数でエンコードしてからbase64でエンコードした任意のGPON値に置き換えます。
2. Content-Typeヘッダーをtext/plain;charset=UTF-8に設定します。

PoCスクリプトの例

これらの手順を自動化するには、change ONT value PoC Scriptまたはcheck ONT value PoC Scriptを参照してください。

推奨される修正

• /cgi/cgi_authpage.jsおよび/firstconnection.htmエンドポイントに認証チェックを実装します。
• これらのエンドポイントへのアクセスを承認されたユーザーのみに制限するか、リスクを低減するためにユーザーがLAN内にいるかどうかを確認します。

免責事項

このリポジトリは教育および研究目的のみを意図しています。この情報を無断でデバイスを悪用するために使用しないでください。常に責任を持って倫理的に行動してください。

---

詳細情報や追加の発見を報告するには、リポジトリの所有者に連絡するか、[email protected] にメールを送信してください。