總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2014-0010
近日，國家信息安全漏洞共享平臺（CNVD）聯(lián)合上海交通大學(xué)網(wǎng)絡(luò)信息中心對Linksys多款路由器產(chǎn)品受到漏洞和“themoon”蠕蟲攻擊威脅的情況進行了分析和監(jiān)測，獲知互聯(lián)網(wǎng)上有近2.5萬個IP對應(yīng)的路由器設(shè)備受到攻擊威脅，其中中國境內(nèi)用戶有近600個設(shè)備IP，對企業(yè)和用戶上網(wǎng)安全構(gòu)成較大的威脅。具體情況通報如下：
一、? 漏洞和蠕蟲情況分析
Linksys是知名路由器品牌，2013年以前歸屬思科公司（Cisco），現(xiàn)該品牌歸屬貝爾金公司（Belkin）。2014年2月16日，Linksys多款路由器產(chǎn)品被披露存在一個安全繞過高危漏洞（CNVD收錄編號：CNVD-2014-01260），由于產(chǎn)品未能對tmUnblock.cgi、hndUnblock.cgi等CGI頁面以及后臺服務(wù)的訪問權(quán)限進行限制，攻擊者可利用漏洞執(zhí)行特定指令，取得路由器設(shè)備的控制權(quán)，繼而可發(fā)起DNS劫持、網(wǎng)絡(luò)釣魚等攻擊，對用戶個人信息安全構(gòu)成威脅。
2月中旬，國外研究者發(fā)現(xiàn)一種名為“themoon”蠕蟲正在發(fā)起對Linksys路由器的攻擊。該蠕蟲利用的是Linksys相關(guān)CGI頁面的漏洞，對暴露在互聯(lián)網(wǎng)上的Linksys路由器80或8080端口開展掃描，利用漏洞從黑客控制的服務(wù)器上下載惡意程序至路由器設(shè)備上，完成對路由器的遠程控制。根據(jù)進一步分析，該蠕蟲還會使用SSL協(xié)議進行遠程控制，并對其他的惡意攻擊采取排他措施。
二、攻擊影響范圍
CNVD對漏洞的綜合評級為“高危”。根據(jù)國外研究者的分析結(jié)果，受漏洞和“the moon”蠕蟲影響的Linksys路由器產(chǎn)品不僅包括LinksysE系列的E4200、E3200、E3000、E2500、E2100L、E2000、E1550、E1500、E1200、E1000、E900和E300，還包括其他系列的的WAG320N、WAP300N、WAP610N、WES610N、WET610N、WRT610N、WRT600N、WRT400N、WRT320N、WRT160N和WRT150N。上述版本產(chǎn)品在企業(yè)及個人用戶中應(yīng)用較為廣泛。
根據(jù)CNVD和上海交通大學(xué)網(wǎng)絡(luò)信息中心的聯(lián)合監(jiān)測結(jié)果，至2014年3月13日，共檢測發(fā)現(xiàn)到互聯(lián)網(wǎng)上有近2.5個IP對應(yīng)為所述Linksys路由器設(shè)備，位于美國、加拿大和中國的IP數(shù)量排名前三。如下表所示為排名前十位的國家和地區(qū)以及對應(yīng)IP數(shù)量情況 。
| 國家和地區(qū) | IP數(shù)量 |
|---|---|
| 美國 | 18852 |
| 加拿大 | 1646 |
| 中國 | 594 |
| 荷蘭 | 364 |
| 俄羅斯 | 288 |
| 保加利亞 | 268 |
| 澳大利亞 | 220 |
| 中國香港 | 179 |
| 丹麥 | 170 |
| 烏克蘭 | 156 |
三、漏洞處置建議
目前，貝爾金公司尚未對上述漏洞及蠕蟲情況發(fā)布針對性的補丁或升級程序，但在其官方網(wǎng)站上發(fā)布了防范攻擊的指導(dǎo)性方法，主要步驟有：升級路由器固件版本至2.0.04版以上；通過路由器Web管理界面，在“RemoteManagement Access”中將“Remote Management”設(shè)置為“Disable”；在Web管理界面“Security”功能中，勾選上“Filter Anonymous Internet Request”選項。
建議廣大用戶參考上述步驟進行加固，并隨時關(guān)注廠商主頁以獲取最新版本或補丁信息。同時，CNVD建議國內(nèi)路由器廠商排查本公司產(chǎn)品，如產(chǎn)品有與上述Linksys產(chǎn)品代碼同源的，需及時做好用戶的安全響應(yīng)工作。
CNVD將持續(xù)跟蹤漏洞處置情況，如需技術(shù)支援，請聯(lián)系CNVD。聯(lián)系電話：010-82990286，郵箱：vreport@cert.org.cn，網(wǎng)站： www.cnvd.org.cn。
相關(guān)安全公告鏈接參考如下：
http://www.cnvd.org.cn/flaw/show/CNVD-2014-01260