DBL Technology

Компания

DBL Technology

DBL Technology — крупный китайский производитель коммуникационного оборудования, используемого в компаниях.

2017: Обнаружение закладки в оборудовании

В марте 2017 года стало известно о том, что VoIP-шлюзы DBL Technology оказались снабжены закладкой (бэкдором). Как выяснила компания Trustwave, потенциальный злоумышленник может получить доступ к уязвимым устройствам с root-правами за счет того, что в прошивке устройств присутствует скрытый административный аккаунт.

Уязвимыми оказались VoIP-шлюзы серии GOIP. Скрытый административный аккаунт защищен проприетарной системой аутентификации типа «вызов-ответ» (challenge-response), в которой обнаружилась техническая неисправность. В описании проблемы на сайте Trustwave говорится следующее:

«
Исследование показало, что эта схема [вопрос-ответ] содержит фундаментальную ошибку: удаленному пользователю нет необходимости знать какие-либо секретные комбинации, кроме самого вызова, нужно лишь иметь представление о протоколе/вычислениях.
»

Когда пользователь пытается получить доступ к устройству через протокол Telnet, используя логин dbladm, устройство отправляет несколько UDP-пакетов на IP-адрес 192.168.2.1 на порт 11000/udp. Если на этот запрос приходит корректный ответ, авторизация происходит автоматически.

VoIP-шлюз DBL Technology

В Trustwave полагают, что эта незадокументированная схема является артефактом разработки: авторы программной прошивки, вероятнее всего, использовали эту процедуру для тестирования.

Trustwave уведомили вендора о проблеме в середине октября 2016 года. В конце декабря DBL Technology распространила новую прошивку. Процедура аутентификации усложнилась, однако в целом схема осталась прежней. [1]Российский рынок CRM-систем: оценки, тренды, крупнейшие поставщики и перспективы. Обзор TAdviser 149 т

По-видимому, разработчики DBL Technology не осознали, что проблема заключается в самом наличии ущербного механизма «вызов-ответ», а не в том, насколько просто или сложно произвести его обратную разработку, отметили в Trustwave.

«
Данная ситуация в очередной раз показывает, как важно для разработчиков производить сторонний аудит своего кода, — говорит Дмитрий Гвоздев, генеральный директор компании "Монитор безопасности". — Когда написаны сотни тысяч строк кода, туда слишком легко могут закрасться ошибки, и очень высока вероятность, что останутся фрагменты, которые использовались при тестировании, но не должны были попасть в итоговый релиз.
»

Примечания