Grave bug sul DWL-2100 AP

[borexino]

Da wireless-italia.com ecco la descrizione di un grave bug del suddetto access point! Soluzione upgradare il firmware alla realase r343

D-Link DWL-2100ap Discloses Configuration File to Remote Users

Riportiamo un contenuto postato da "Ashanti" sul nostro Forum: la "Intruders Tiger Team Security" ha identificato, durante un progetto di intrusione (Pen-Test), una vulnerabilità sconosciuta nel D-Link DWL-2100ap, che permette ad utenti malintenzionati di leggere la configurazione dell'ap, senza il bisogno di autenticazione con utente e password tramite il web Server. Nel file di configurazione dell'Access Point sono contenute importanti informazioni, quali: Utente e password per controllare il dispositivo da remoto, le password che si usano nelle crittografie WEP e WPA. SSID, IP, subnet mask, filtri di MAC Address, ecc. E' consigliabile aggiornare al più presto il Firmware del dispositivo.

ANALISI DEL PROBLEMA:

Tramite una richiesta HTTP della cartella /cgi-bin/ il Web server ci darà l'errore 404 (Pagina non trovata).

Tramite una richiesta HTTP del file /cgi-bin/qualsiasinome.htm il Web server ci darà l'errore 404 (Pagina non trovata).

Invece, tramite una richiesta HTTP di un file nella cartella /cgi-bin/ con estenzione .cfg, ci restituirà l'intera configurazione dell'access point.Ad esempio, con la richiesta del file "http://dlink-DWL-2100ap/cgi-bin/Intruders.cfg"

Avremo un risultato simile al seguente:

# Copyright (c) 2002 Atheros Communications, Inc., All Rights Reserved
# DO NOT EDIT -- This configuration file is automatically generated
magic Ar52xxAP
fwc: 34
login admin
DHCPServer
Eth_Acl
nameaddr
domainsuffix
IP_Addr 10.0.0.30
IP_Mask 255.0.0.0
Gateway_Addr 10.0.0.1
RADIUSaddr
RADIUSport 1812
RADIUSsecret
password IntrudersTest
passphrase
wlan1 passphrase AnewBadPassPhrase
# Altre linee secondarie sono state rimosse.

Il pieno controllo del dispositivo darebbe, ad utenti malintenzionati, pieno accesso all'intera WLAN.
Purtroppo il D-Link DWL-2100ap non permette la disabilitazione del Web server, e non ha opzioni per filtrarne la porta.

Ricordiamo, infine, che il D-Link DWL-2100ap è preconfigurato con l'utente: "Admin" e senza password.
Non sono state effettuate prove su altri Access Point D-Link, cui non se ne esclude la vulnerabilità.

[eve]

il bello è che d-link se ne sbatte, infatti chi ha scoperto il bug ha scritto
VII - CHRONOLOGY:
-----------------

11/02/2006 - Vulnerability discovered during a Pen-Test.
15/02/2006 - D-Link World Wide Team Contacted.
17/02/2006 - No response.
18/02/2006 - D-Link World Wide Team re-contacted.
24/02/2006 - No response.
25/02/2006 - D-Link World Wide Team last try of contact.
29/02/2006 - No response.
29/02/2006 - D-Link Brazil Team Contacted.
02/03/2006 - No response.
03/03/2006 - D-Link Brazil Team re-contacted.
06/03/2006 - D-Link Brazil Team responsed.
09/03/2006 - Patch created.
14/03/2006 - Patch added to D-Link Brazil download site.
06/06/2006 - published advisory.