CVE-2024-57725: 일부 Arcadyan 라우터(Orange 및 Jazztel 유통)의 GPON 링크 조작 취약점

이 저장소는 스페인의 Orange와 Jazztel이 유통하는 LiveboxFibra Arcadyan 라우터(PRV3399B_B_LT)에서 발견된 인증 없는 취약점을 문서화합니다. 문제는 인증 없이 /cgi/cgi_authpage.js 및 /firstconnection.cgi 엔드포인트를 통해 GPON 링크 값을 추출하고 수정할 수 있다는 점입니다.

취약점 세부 정보

영향을 받는 엔드포인트

1. /cgi/cgi_authpage.js

   • slid_value 매개변수를 노출합니다. 이 매개변수는 GPON 링크 값을 16진수 형식으로 포함합니다. 인증 없이 접근할 수 있어 정보 공개로 이어집니다.

2. /firstconnection.cgi

   • GPON 링크 값의 인증 없는 수정을 허용합니다. 공격자는 다음을 수행할 수 있습니다:
     • 라우터의 인터넷 연결을 방해하여 서비스 거부(DoS)를 유발하도록 GPON 링크를 변경하는 조작된 POST 요청을 전송합니다.

영향

• 정보 공개: 인증 없이 GPON 비밀번호를 추출합니다.
• 서비스 거부: GPON 값을 무단으로 변경하면 라우터가 인터넷에서 연결 해제될 수 있습니다.
• 공격 경로: 공격자는 로컬 네트워크 접근 권한이 있거나, 라우터의 인증 패널이 인터넷에 노출되거나 VPN 터널을 통해 접근 가능한 조건을 악용해야 합니다.

공격 단계

GPON 비밀번호 추출

1. 엔드포인트에 접근합니다:
   root@kitploit:~

   https://<router-ip>/cgi/cgi_authpage.js
   

2. JSON 응답에서 slid_value 매개변수를 찾아 GPON 비밀번호를 16진수 형식으로 얻습니다.

GPON 비밀번호 수정

1. /firstconnection.cgi에 다음 페이로드로 POST 요청을 전송합니다:
   root@kitploit:~

   GO=firstconnection.htm&pws=<BASE64_HEX_GPON_PWD>&GO=firstconnection.htm
   

   <BASE64_HEX_GPON_PWD>를 원하는 GPON 값으로 바꾸되, 16진수로 인코딩한 다음 base64로 인코딩합니다.
2. Content-Type 헤더를 text/plain;charset=UTF-8로 설정합니다.

예제 PoC 스크립트

이 단계를 자동화하려면 ONT 값 변경 PoC 스크립트 또는 ONT 값 확인 PoC 스크립트를 참조하세요.

권장 수정 사항

• /cgi/cgi_authpage.js 및 /firstconnection.htm 엔드포인트에 대한 인증 확인을 구현합니다.
• 이러한 엔드포인트에 대한 접근을 인증된 사용자로만 제한하거나, 위험을 줄이기 위해 사용자가 LAN에 있는지 확인합니다.

면책 조항

이 저장소는 교육 및 연구 목적으로만 제공됩니다. 이 정보를 무단으로 장치를 공격하는 데 사용하지 마십시오. 항상 책임감 있고 윤리적으로 행동하십시오.

---

자세한 내용이나 추가 발견 사항을 보고하려면 저장소 소유자에게 문의하거나 [email protected]으로 이메일을 보내주십시오.