135 millones de cable módems permiten resetarse de fábrica sin autenticación

Los ARRIS SURFboard son cable modems muy populares, se calcula que hay unos 135 millones vendidos, sobretodo en EE.UU. Por unos 70$ el modelo SB6141 funciona con casi cualquier operador americano, soporta IPv6 y permite descargar hasta 343 Mbps.

El 1 de abril, precisamente el día de los inocentes en muchos sitios, el investigador David Longenecker publicó que era posible reiniciar estos routers e incluso resetarlos de fábrica (factory reset) sin NINGÚN TIPO DE AUTENTICACIÓN.

Por ejemplo podemos acceder a la página de diagnóstico de la versión de firmware SB_KOMODO-1.0.6.14-SCM01-NOSH de un SURFboard 6141 sin necesidad de introducir ningún login:

El problema es que el interfaz web también incluye dos botones con funciones para reiniciar el módem y... OMG!... para resetearlo de fábrica:

Evidentemente por defecto el acceso al Web UI es local, pero esta vulnerabilidad mala configuración puede explotarse mediante un CSRF (Cross Site Request Forgery) afectando al módem simplemente si el usuario visita alguno de los enlaces incluyéndolo en un correo:

- Reiniciar el módem:

192.168.100.1/reset.htm

- Resetearlo de fábrica:

http://192.168.100.1/cmConfigData.htm?BUTTON_INPUT1=Reset+All+Defaults

O peor, como una imagen que realmente no es una imagen en una página web, imaginaros su uso en un foro con un XSS persistente };) :

<img src="http://192.168.100.1/reset.htm">

Fuente:  ARRIS (Motorola) SURFboard modem unauthenticated reboot flaw