Опубликована детальная информация (PDF) о сути недавно анонсированной критической уязвимости в беспроводных маршрутизаторах Cisco Linksys, которая позволяет из локальной сети получить доступ к устройству под пользователем root без проведения аутентификации. Уязвимость вызвана ошибкой в UPnP-стеке Broadcom и позволяет через специальный SOAP-запрос эксплуатировать ошибку форматирования строки и осуществить запись в произвольную область памяти и организовать выполнение своего кода с root-правами.

После более подробного изучения уязвимости было выявлено, что кроме Linksys проблеме подвержены и другие продукты с UPnP-стеком Broadcom, например, мини-маршрутизаторы и точки доступа Asus, TP-Link, Zyxel, D-Link, Netgear и US Robotics. По предварительной оценке в сети находится около 70 млн беспроводных маршрутизаторов, из которых примерно 15 млн подвержены указанной уязвимости. Кроме того, похожая проблема выявлена и на днях исправлена в открытой реализации UPnP - libupnp. Из реализаций UPnP не подверженных проблеме отмечается только MiniUPnP.

Примечательно, что компания Cisco была уведомлена о проблеме несколько месяцев назад, но исправление так и не было выпущено. В настоящее время все доступные версии прошивки Linksys уязвимы, как и большинство прошивок других устройств на базе чипов Broadcom. Проблему усугубляет то, что многие устройства принимают UPnP-запросы (UDP-порт 1900 и TCP-порт 2869) на WAN-интерфейсе, т.е. в этом случае не исключается проведение атаки злоумышленником из внешней сети.