Akamai SIRT 安全公告：攻击者利用 CVE-2023-26801 漏洞传播 Mirai 僵尸网络恶意软件
编辑和评论补充：Tricia Howard
内容提要
Akamai 研究人员发现了对 CVE-2023-26801 的活跃利用，该漏洞是 2023 年 3 月发现的一个严重命令注入漏洞 (CVSS 9.8)。
Akamai 安全情报响应团队 (SIRT) 早在 2023 年 6 月 13 日便观察到现实环境中对此漏洞的利用，并且漏洞利用一直处于活跃状态。
攻击者利用该漏洞在以下固件版本中传播 Mirai 僵尸网络恶意软件：LB-LINK BL-AC1900_2.0 V1.0.1、BL-WR9000 V2.4.9、BL-X26 V1.2.5 和 BL-LTE300 V1.0.8。
该漏洞是由于对“mac”字段的验证不足所致，未经授权的攻击者可借此在受影响的设备上执行任意命令。
利用该漏洞可导致未经授权的访问、设备失陷以及横向移动。
在本文中，Akamai SIRT 提供了一系列建议的缓解措施，以降低您面临该漏洞的风险。
简介
Mirai 僵尸网络对安全专业人员来说是个臭名昭著的名字，最值得注意的是它在 2016 年对 DynDNS 发起的攻击。自那时起，受 Mirai 僵尸网络影响的衍生变种与僵尸网络层出不穷，且至今仍具有显著的影响力。Akamai SIRT 于 2023 年 6 月 13 日观察到的最新示例是对 CVE-2023-26801 的活跃利用，该漏洞是 2023 年 3 月发现的一个严重命令注入漏洞。此漏洞的 CVSS 评分为 9.8，可能会对受感染设备及其所在网络造成严重破坏。
攻击者可以利用此漏洞向受影响的无线路由器发送精心设计的请求，进而能够在受感染设备上执行命令。这些命令之一会注入并执行 Mirai，从而引发一些安全问题。
在本博文中，我们将介绍该漏洞，讨论其影响并呈现我们观察到的入侵指标 (IOC)。这是最新的活跃利用，本博文将随着新信息的发现而不断更新。
漏洞详情
该漏洞于 2023 年 3 月首次公开，并同步附带了潜在攻击利用的概念验证（PoC）。该漏洞存在于“/lib/libshare-0.0.26.so”文件中。具体而言，受影响的是该文件内的“bs_SetLimitCli_info”函数。当传入包含“mac”、“time1”和“time2”字段的 JSON 数据时，“mac”字段会在未经妥善检查的情况下被拼接进格式化字符串中。随后，该字符串作为参数被传入并执行于“bl_do_system”函数中，最终引发命令注入漏洞。
此外，“/bin/goahead”程序在“ftext”函数中也存在漏洞，其中“formDefineCGIjson”函数定义了“/goform/xxx”URL 的处理程序。特定 URL“/goform/set_LimitClient_cfg”对应存在漏洞的“sub_44DB74”函数。在该函数中，系统使用“websGetVar”获取 POST 请求字段的内容，将其转换为 JSON 格式，并传递给存在漏洞的“bs_SetLimitCli_info”函数。当“time1”和“time2”字段均设置为“00:00-00:00”时，即可利用该漏洞，进而允许在“mac”字段中注入恶意命令。
影响
未经授权的攻击者可以通过向受影响的 LB-LINK 无线路由器上的“/goform/set_LimitClient_cfg”URL 发送精心设计的 HTTP POST 请求来利用此漏洞。通过将“time1”和“time2”字段设置为“00:00-00:00”并在“mac”字段中注入任意命令，攻击者便可以在目标设备上执行这些命令。这可能会引发多种安全风险，包括未经授权的访问、设备失陷以及在网络内部的进一步攻击利用。
概念验证
若要利用此漏洞，攻击者可向“/goform/set_LimitClient_cfg”URL 发送以下 HTTP POST 请求：
POST /goform/set_LimitClient_cfg HTTP/1.1
Host: <target_router_ip>
Content-Type: application/x-www-form-urlencoded
Content-Length: <length>
Cookie: user=admin
time1=00:00-00:00&time2=00:00-00:00&mac=;telnetd -l /bin/sh;
确保将“Cookie”标头设置为“user=admin”，因为该程序对身份验证或授权没有特殊检查。这意味着利用该漏洞无需事先进行身份验证。
Mirai 漏洞利用
SIRT 蜜罐早在 2023 年 6 月 13 日就捕获到了利用此漏洞感染设备的 Mirai 样本（图 1 和图 2）。攻击载荷（payload）尝试注入 wget 命令，通过下载一个编译为 32 位 MIPS 架构的 Mirai 二进制文件，赋予其全员可执行权限（world executable），随后将其执行（图 3 和图 4）。
图 1：三个包含漏洞利用的恶意软件样本的示意图
图 2：在蜜罐中捕获的漏洞利用企图的示意图
图 3：使用 CVE-2023-26801 的漏洞利用函数 sym.lblink_scanner() 的反汇编
图 4：从函数 main() 调用的 sym.lblink_scanner() 的反汇编
抵御方案
LB-LINK 已收到关于该漏洞的通知，建议受影响的用户采取以下六项措施：
1. 更新固件：全球用户及中国本土用户应密切关注厂商官网，及时获取针对受影响型号（LB-LINK BL-AC1900_2.0、BL-WR9000、BL-X26 及 BL-LTE300）专门发布的固件更新。
2. 及时下载并安装：一旦获取到更新后的固件版本，请及时下载并安装，以修复该漏洞。
3. 限制网络访问：作为通用安全最佳实践，建议确保 LB-LINK 路由器不会直接暴露在互联网中供外部访问。实施适当的防火墙规则或网络微分段，以限制对受影响设备的访问。
4. 启用强身份验证：使用强且唯一的密码来访问路由器的管理界面，以降低未经授权访问的风险。考虑使用复杂密码；如果设备支持，建议启用多因素身份验证（MFA）。
定期进行安全更新及时关注关于 LB-LINK 路由器的安全漏洞通报与更新信息。及时关注关于 LB-LINK 路由器的安全漏洞通报与更新信息。
6. 监控网络: 实施网络监控解决方案，以检测和分析可疑的网络活动。这有助于识别对 LB-LINK 路由器的任何潜在利用尝试或未经授权的访问。
结语
恶意软件开发者正在持续创新其实现方法、编程语言以及分发渠道。利用已知漏洞是一种常见的攻击手段，而这正是本次事件中所发生的情况。补丁管理是每个安全体系结构中至关重要的组成部分：这往往决定了安全事件是止步于一般性事件，还是演变为严重的数据泄露。
Akamai 安全事件响应协调团队（SIRT）旨在跟踪、检测、记录并发布最新的安全发现，以全面保障 Akamai、Akamai 客户以及整个互联网的安全与稳定。我们将继续监控此类攻击，并在全球网络中发现新兴威胁时及时通知社区。如需获取实时更新和更多安全研究报告，请关注我们的微信公众号。
IOC
85.208.139.67
45.66.230.32
103.95.196.149
193.42.32.40
446bf64f576f3ee1e3fa130005e6cea27ec4acfd8af7dd067d39367159ebee62： ELF 32-bit LSB executable, MIPS, MIPS-I version 1 (SYSV), statically linked, stripped
eb143186410a79e876cb2e4a09eadba530e7b7ffb893dccf6b6e9a5febfabb46：ELF 32-bit LSB executable, MIPS, MIPS-I version 1 (SYSV), statically linked, stripped
048e4e09396cd9e6c1bb2ac89fdb243d7669929499850940bb0a2737aaf0fb4d：ELF 32-bit LSB executable, MIPS, MIPS-I version 1 (SYSV), statically linked, stripped
ac4750995b6159238f8b61ea31a5de45c2414cc37d46b360ac3746ec7188bfe5： ELF 32-bit LSB executable, ARM, EABI4 version 1 (SYSV), statically linked, with debug_info, not stripped
9507e3fd6a74289998c5460060038d45271f175a0485db63379f494843b1f7f6： ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, stripped
feca0b6fd6bec792c79d3a4dcf4e43aea9e5ff978d5b688e0a77b593144ac569： ELF 32-bit LSB executable, ARM, version 1 (ARM), dynamically linked, interpreter /lib/ld-uClibc.so.0, stripped
40f8be79003d9fe2ac0e0f6890958c731bf5869e0f52c869c061e88a80cc09a2： ELF 32-bit LSB executable, ARM, EABI4 version 1 (SYSV), statically linked, stripped
参考资料
1. LB-LINK 厂商网站：https://www.lb-link.cn
2. LB-LINK 中国厂商网站：https://www.b-link.net.cn
