Уязвимость в маршрутизаторах Huawei упрощает поиск устройств с заводскими учетными данными

Сотрудники компании NewSky Security обнаружили уязвимость в некоторых маршрутизаторах производства Huawei, используемых интернет-провайдерами, с помощью которой злоумышленники легко могут вычислить устройства с установленными по умолчанию логинами и паролями, даже не подключаясь к ним.

Проблема, получившая идентификатор CVE-2018-7900, содержится в панели маршрутизатора и раскрывает учетные данные. В результате злоумышленники могут легко сформировать список устройств с заводскими логинами и паролями, просто осуществив поиск в сервисах ZoomEye или Shodan.

Как пояснил специалист NewSky Security Анкит Анубхав (Ankit Anubhav), при просмотре исходного кода страницы авторизации можно увидеть несколько задекларированных переменных, одна из которых включает конкретное значение. По этому значению можно вычислить устройства с установленными по умолчанию учетными данными.

«Атакующий с минимальными хакерскими навыками может просто воспользоваться ZoomEye, найти список устройств, авторизоваться и делать все, что вздумается. Вот так просто», - отметил Анубхав.

Исследователи не стали раскрывать технические подробности об уязвимости, а также число обнаруженных уязвимых устройств, хотя Анубхав отметил, что их количество «вызывает беспокойство».

Компания Huawei уже выпустила патч, устраняющий уязвимость, и совместно со своими клиентами-провайдерами провела работу по его установке в сетях.