In-Seguridad en los routers Amper ASL 26555 de Movistar

En agosto de 2012, Alberto Ortega publicaba en securitybydefault un artículo en el que hablaba de la configuración, uso avanzado y una posible backdoor para obtener la clave de administrador del router y lograr el control total del dispositivo con permisos de administración.

La gestión simple del router nos permite modificar pocas cosas accediendo a través de su IP: 

http://192.168.1.1

Por otro lado, existe un acceso a una gestión avanzada (es decir a la configuración total del router) a través de un panel web con autenticación que corre en el puerto 8000:

http://192.168.1.1:8000

Hasta ahí todo perfecto y muy bien pensado. 

El problema es que en este servidor web existe un directorio llamado /APIS/, para el que no se requiere autenticación de acceso.  Vamos, que el acceso a este directorio es seguro, pero a su contenido no.

Podemos comprobar directamente en nuestro navegador que al acceder a este directorio nos devuelve error 404:

http://192.168.1.1:8000/APIS/

Pero si conocemos el nombre de los archivos alojados en este directorio, a ellos sí podemos acceder sin ningún problema. Y si, accedemos en particular al archivo returnJSON.htm, el router nos mostrará la clave del administrador. Por ejemplo, si abrimos un terminal y ejecutamos:

$ wget http://192.168.1.1:8000/APIS/returnJSON.htm

Obtendremos una salida parecida a la siguiente:

{
"RETURN":{
"success": true,
"errorDescription": "ERROR_GENERAL"
},
"USER":{
"USERNAME": "admin",
"PASSWORD": "mipassword"
}
}

Esto es una vulnerabilidad importantísima que cualquiera puede explotar conectando un equipo a la red o simplemente con usar un equipo de los que hay conectados a la red.

El router adsl que teníamos montado era bastante antiguo, se averió. y mira por donde, nos montaron un Amper ASL 26555 de Movistar. Y yo pensé:

Bueno, esta vulnerabilidad está publicada desde agosto de 2012 y estamos en febrero, así que el problema debe estar resuelto.

Abrí un terminal en mi máquina, ejecuté "$ wget http://192.168.1.1:8000/APIS/returnJSON.htm" y puede comprobar que NO, que el agujero de seguridad seguía ahí y que podía obtener la clave del router con estar solamente conectado a la red sin privilegios de seguridad, con un usuario cualquiera.

Me puse en contacto con Movistar a través del servicio de chat y me atendieron muy amablemente, todo hay que decirlo. Después de explicarles el problema, me dijeron que abrían una incidencia para que me cambiaran el router.

Avisaron a los técnicos que cambiaron el router y éstos volvieron a llamarme para preguntarme por el problema. Volví a explicarlo de nuevo, y me informaron de que no tenían otro modelo de router, y que ese era el único modelo que se estaba montando actualmente. La solución fue montarme un router más antiguo.

Algo que me resultó gracioso cuando les expliqué el tema fue que me dijeron que nosotros teníamos que tener nuestros mecanismos de seguridad. No sé si quería decir que en cualquier caso ellos no eran responsables de la seguidad. Me reí y le dije: "Yo puedo tener todas las medidas de seguridad que quiera, pero si montamos su router estamos abriendo un agujero de seguridad a toda la red que echará abajo todos los mecanismos que yo pudiera tener."

Así que nada. Si tenéis este router montado en vuestras instalaciones, pedid que os lo cambien. Y no seáis malos y no le hagáis la puñeta a vuestro amigo, que el no tiene la culpa de tener un router como éste.