Arris 모뎀에 존재하는 하드코딩된 백도어

AT&T 에서 서비스하는 Arris modem 의 두 기종 NVG589 와 NVG599 에서 하드코딩된 백도어계정 세개가 발견됐다. OEM 제조사인 Arris 에 의한 것인지,

 ISP 업체인 AT&T U-verse 에 의한 것인지 현재로썬 불명확. 각 백도어에 관한 설명은 아래와 같다.

Arris modem 은 기본 SSH 활성화 상태로 판매되는데, remotessh/5SaP9I26 으로 어떤 제품이라도 관리자 권한으로 로그인 가능.

빌트인 웹서버를 통해 모뎀 설정패널을 웹UI로 제공하는데, 49955 포트로 ID:tech PW:없음 으로 관리자 로그인 가능. 또한 이 웹UI 는 커맨드 인젝션 공격에 취약.

 모뎀에서 쉘 명령어 실행 가능.

장비 시리얼 넘버를 알고 있는 공격자라면, 61001포트, 계정정보 bdctest/bdctest 로 관리자 접근 가능.

이 외에도 방화벽 우회등의 취약점이 존재. 현재까지 이 취약점들을 익스플로잇 하는 공격은 알려진 바 없다는 소식 

https://www.bleepingcomputer.com/news/security/three-hardcoded-backdoor-accounts-discovered-in-arris-modems/

https://www.nomotion.net/blog/sharknatto/