Orange LiveBox 调制解调器存在漏洞，SSID 和 WiFi 密码或被盗
编译：360代码卫士团队
Orange 公司生产的 LiveBox ADSL 调制解调器中存在一个漏洞，攻击者只需通过互联网发送一个请求就能窃取明文形式的 SSID 和 WiFi 密码。
Bad Packets 公司的蜜罐系统检测到针对 Orange 公司设备的扫描活动。Bad Packets 公司的联合创始人 Troy Mursch 发现这些设备在泄漏本地网络访问详情。
Mursch 通过 Shodan 搜索到暴露在互联网上的 LiveBox 系统列表，发现其中19,490 个系统通过 /get_getnetworkcof.cgi 的 GET 请求暴露明文形式的信息。
Mursch 在周日发布的一篇博客文章中指出，很多易受攻击的 Orange 盒子的所有人使用相同密码限制对设备配置板和无线网络的访问权限。他还注意到设备大量使用了默认凭证 admin/admin。
这正是攻击者寻求远程攻陷设备或模拟攻击的有价值信息，尤其是那些具有 VoIP 支持的调制解调器。
影响 Orange LiveBox 调制解调器的多个漏洞已遭公开，其中有些还包括漏洞利用代码。
Mursch 表示，多数易受攻击的设备位于 Orange Espana (AS12479) 网络中，而最初的扫描来源是来自西班牙电信公司客户的 IP 地址。
研究人员表示，“虽然我们仅能猜测这些扫描活动幕后的动机，但有意思的是，我们找到的来源和受影响的 Livebox ADSL 调制解调器距离很近，而不是位于其它国家的威胁者。这就导致如果攻击者位于扫描活动中所指示的调制解调器之一，那么就能连接至 WiFi 网络 (SSID)。”
这个信息泄漏缺陷的编号是技术圈子已知晓的 CVE-2018-20377。Rick Murray 曾在2012年的一篇博客文章中提起过，而在2015年也有一篇文章分析了该设备的固件。
OrangeEspana、Orange-CERT 和西班牙 CERT 均已得到部署缓解程序的通知。
推荐阅读
原文链接
https://www.bleepingcomputer.com/news/security/orange-livebox-modems-targeted-for-ssid-and-wifi-info/
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士 www.codesafe.cn”。