厄運cookie（Misfortune Cookie）漏洞影響全球1200萬臺路由器
責編：admin ｜2014-12-22 13:48:31一個名為“厄運cookie（Misfortune Cookie）”的嚴重漏洞正在影響全球1200萬臺路由器安全，D-Link、 TP-Link、華為、中興等品牌均受到影響，攻擊者可以利用漏洞遠程控制設備及監控流量。
了解“厄運cookie”漏洞
該漏洞與AllegroSoft公司開發的WEB服務器RomPager有關，RomPager被諸多路由器廠商使用，嵌入路由設備固件以及調制調解器之中。這款WEB服務器可以為路由器提供良好用戶體驗的Web管理接口。
在RomPager 4.34版之前（RomPager軟件已有10多年的歷史）存在一個嚴重的漏洞，這個漏洞被稱為厄運cookie（Misfortune Cookie），這是因為它可以讓黑客通過操作cookie來控制HTTP請求的“幸運值”。
這個漏洞編號為CVE-2014-9222，如果攻擊者向存在漏洞的RomPager服務器發送特定請求，會使得這類網關設備內存紊亂，攻擊者獲得管理權限。
安全研究人員Shahar Tal稱：
“黑客可以發送特定http cookie給網關從而導致設備內存紊亂”
黑客控制設備后，他們可以查看受害者的上網行為，從路由器設備中經過的流量里讀取文本信息，改變DNS設置，盜取用戶的賬戶密碼和敏感信息。同時，他們還可以監控網絡攝像頭，電腦以及其他接入網絡的設備。
D-Link、 TP-Link、華為、中興等品牌均受影響
超過200種不同的調制調解器（modem）和網關設備或SOHO（小型家庭辦公）路由都存在“厄運cookie”漏洞，包括知名品牌D-Link， 愛迪麥斯， 華為， TP-Link， 中興和ZyXEL。
這個漏洞影響的不僅僅是存在漏洞的路由器或網關設備，任何接入其網絡的如PC、智能手機、平板電腦、打印機，以及家庭智能設備都會遭殃。
允許對外訪問就更糟糕了
一旦路由器允許WEB管理端可以被外網訪問時，該漏洞會變得更加危險。黑客即使在千里之外，也可以黑掉該設備。
許多路由/網關設備被配置為監聽7547端口，這是遠程管理協議TR-069或者說是CWMP（CPE廣域網管理協議）規定的，它允許黑客遠程發送惡意cookie到該端口，漏洞設備因此淪陷。
1200萬設備受到影響
這個漏洞在2002年就已經被發現，然而AllegroSoft公司在2005年才修復，同時華為、D-Link、中興等知名硬件廠商至今仍在出售存有漏洞的路由器設備。
以色列安全公司Check Point指出，存在漏洞的路由器/網關設備數量高達1200萬：
“據我們所知，在RomPager版本4.34（特別是4.07）之前的版本是存在漏洞的，當然需要注意的是，一些供應商可能打上了這個漏洞的補丁，卻沒有更新版本號，這可能會使漏洞鑒別條件失效。”
安全研究人員認為如果人們對路由器漏洞置之不理，黑客可以輕松竊取個人私密數據，控制人們的家庭生活也不是難事。
安全建議
RomPager在國內路由上使用的非常廣泛并且經常被曝出漏洞，多家大品牌路由器都曾受其影響，所以無論是個人還是企業都需要引起重視。
FreeBuf建議大家首先確定自己的路由器內嵌的 RomPager 軟件版本是否為 4.34 或更高版本。對于終端用戶而言，能做的就是升級路由器固件。
當然也有一些網友建議，先去下載名為「 CHECK POINT MISFORTUNE COOKIE – SUSPECTED VULNERABLE MODEL LIST」 PDF文件。如果自己的路由器不幸在大名單之列，那么請立即關閉路由、網關的開放端口，比如 80、8080、443、7547 等，然后坐等路由廠商的安全更新。
當然如果你不愿意讓自己的設備因此閑置的話，可將該路由器先做橋接，讓其他確定打了安全補丁或無漏洞的路由器做網關。
漏洞測試
文章最后附上漏洞利用測試的Metasploit模塊。