Technicolor cga2121 haavoittuvuus CVE-2024-3780 paikattu??

Kiitos kysymyksestäsi ja tervetuloa Yhteisöön! 😊 Selvittelemme laitepuolen asiantuntijoiden kanssa tätä, palaamme asiaan mahdollisimman pian! 

Saimme tähän asiantuntijaltamme vahvistuksen, että tämä haavoittuvuus on korjattu 5.62-versiossa. Nykyinen versio on 5.65.

Sain vain tiedon 2 viikkoa sitten, että minun IP osoitetta käyttäen (poliisin teiltä saatu tieto) oli tehty pankkitietohuijaus Lahdessa ja minulla kuitenkin admin salasana vaihdettu ja wifi verkolle myös. Kyseiseen haavoittuvuuteen ominaisuuksiin kuuluu juurikin, ettei hyökkääjä tarvitse salasanoja käyttääkseen reititintä hyväksi. Milloin tuo 5.62 versio on julkaistu? 

Haemme vielä tähän varmistuksen ja palaamme asiaan. 

Minulla tallentuu kaikki päivämäärät ja kellonajat muistiin serverille, kun Telian siltaava kaapelimodeemi yhteys lakkaa toimimasta. Minun tekemä automaattinen skripti tarkistaa yhteyden 5 minuutin välein, jos telian yhdyskäytävän MAC osoite on <incomplete> tilassa, niin se tarkoittaa sitä, että telian on yrittänyt taas päivittää CMTS laitteen avulla, jonkin kaapelimodeemin firmwarea aiheuttaen minulle aina pysyvän yhteyskatkoksen riippumatta siitä, onko pävitys tarkoitettu minun kaapelimodeemille tai ei. Skripti tietää miten toimitaan ja se vapauttaa Telialta saadun julkisen IP-osoitteen. Tämän jälkeen IP-osoitetta pyydetään uudelleen ja tulee yleensä sama julkinen IP-osoite. Samalla Telian ydyskäytävän MAC osoite muuttuu <incomplete> tilasta takaisin normaaliksi ja yhteys alkaa toimia, eli MAC osoite löytyy normaalisti. Skripti ja Syslog serveri on ollut elokuun alusta lähtien toiminnassa. MAC osoitteen <incomplete> tila on tarkoittanut, aina sitä, että firmware pävitystä on yritetty jakaa Telian kaapeliverkossa. En tiedä lähetetäänkö kaikissa kaapeliverkon osissa päivitystä samalla hetkellä, mutta ainakin tiedän päivän, koska se tapahtuu minun modeemille. Scriptin teko oli pakollinen, koska siltaava yhteys menee aina pysyvästi jumiin MAC-osoitteen <incomplete> tilan takia CGA4236TCH1 kaapelimodeemissa.

Tässä päivämääriä ja aikoja milloin jumiutuminen on tapahtunut ja silloin on aina ladattu firmwarea kaapelimodeemin. Tieto <incomplete> tilasta tallentuu serverin kovalevylle pysyvään muistiin. Käytän siltauksessa itse määriteltyä MAC numeroa kaapelimodeemin IPv4 MAC Passthrough toiminnon avulla. Kyseinen vaihtoehto lakkaa aina toimimasta, kun tulee firmware päivitysyrityksiä Telian päästä riippumatta siitä onko ne tarkoitettu Telian CGA2121 modeemille tai CGA4236 modeemille.

Telian yhdyskäytävän MAC osoitteen <incomplete> tilan hetket Syslog serverin lokitiedoista:

2025-08-08 12:35:01
2025-08-19 06:35:02
2025-08-26 06:45:01
2025-08-29 19:15:01

Skripti on tehty Ubiquitin valmistaman EdgeRouter laitteen sisään. Tuo ei ole normaali konfis, vaan vaatii Linux osaamista ja syvempää reitittimen tuntemusta.

Esimmäiset tiedot ei ole oikein, koska skripti ei vielä toiminut oikein ja <incomplete> tila jäi pysyvästi päälle. Nyt skripti toimii ja <incomplete> tila häviää 5-10 minuutin päästä siitä, kun se on havaittu. Tämä <incomplete> tilaa osuu aina hetkeen, kun telian CMTS (Cable Modem Termination System) laite yrittää päivittää kaapelimodeemia. Tavallaan pystyn löytämään nyt kaapelimodeemin firmwaren päivitysten hetket etsimällä Syslog serverin tiedoista pelkästään <incomplete> tilaa. Päivitys tapahtuu ensin ja se päättyy tähän <incomplete> tilaan missä kaikki liikkenne internettiin päin pysähtyy kokonaan. Mikään lähiverkon kytkin tai reititin ei pysty välittää mitään dataa mihinkään, jos MAC osoitetta ei löydy, eli se on paljon tärkeämpi, kuin IP osoite. MAC osoite tulee siis ensin ja sen jälkeen ihmetellään vasta IP osotteita. Olen huomannut, että yhteys on kuitenkin koko ajan auki, mutta data liikenne ei toimi, koska MAC osoite on <incomplete> tilassa ja EdgeRouter laitteen ja Telian modeemin välillä liikkuu jatkuvaa ARP kyselyä, johon Telian yhdyskäytävä, eli gateway ei vastaa mitään, koska <incomplete> tila on päällä. Tämän takia ledit vilkkuu, vaikka mitään yhteyttä ei enää ole. Tärkeät MAC osoitteet on tallennettu verkkolaitteiden ARP tauluihin ja siellä näkyy sama <incomplete> tila.

Tätä ongelmaa olen selvittänyt viime Juhannuksesta lähtien ja olen löytänyt ongelman. En tiedä onko Telia konfiguroinut Cisco CMTS laitteen väärin, vai mistä tämä ongelma johtuu, mutta tiedän, että tälläinen ongelma on varmasti olemassa, eli tämä ei ole mikään vitsi, vaan fakta, jolle en ole löytänyt vielä järkevää selitystä.

Jos käyttää pelkkää reitittävää tilaa Telian kaapelimodeemissa, niin yhteys palautuu, mutta se voi kestää alle 10 minuutista puoleen tuntiin. Oletan, että minun skriptillä voi nopeuttaa tätäkin, jos se ei toimi riittävän nopeasti, mutta skripti toimii, vain EdgeRouter laitteessa, eikä missään muussa reitittimessä. Vastaava vaatii suoraa pääsyä reititinlaitteen Linux käyttöjärjestelmään admin oikeuksilla.

Jos voisin tehdä Telian modeemilla jotain vastaavaa, niin voisin kerätä sieltäkin lisää tietoa Syslog serverille, mutta ne on yleensä suojattu aika hyvin ja voi vaatia modeemin fyysistä avaamista / purkamista tasolle, jos ei välttämättä ole paluuta, koska modeemi saattaa vaurioitua. Hakkerit tekee juuri tätä ja ne vaikka lukee muistipiirin sisällön modeemista jotka he ovat saaneet käsiinsä. Consoli portilla voisi olla jotain toivoa päästä sisään, mutta sitä ei yleensä ISP modeemissa ole ja se voi, kuitenkin löytyä modeemin piirikortilta +5V tai +3.3V singnaali tasolla. Firmware haavoittuvuuksia ei korjata mitenkään muuten, kuin päivittämällä, jos niistä myöhästyy, niin pahimmillaan haitake voi olla asentunut jopa itse modeemin sisään. Tässä voidaan verrata minun tapausta missä korjaan ongelman reittimen sisällä, enkä sen ulkopuolella.

Muistakaa nyt ihmeessä, että reititin on myös tietokone ja siinä on yleensä jonkin sortin Linux sisällä, jos pääsee sisään ja voi syöttää omaa koodia, niin ongelma on todella kriittinen, koska silloin modeemi on hakkerin hallinnnassa, eli tavallaan samaa, kuin minäkin teen, mutta minä tein sen hyvässä tarkoituksessa omaan oikeaan tarpeeseen Telian ja minun yhteyksien välillä.

Ei tarvitse, kuin seurata Youtube kanavaa David Bombal tai mattbrwn netissä, niin alkaa oikeasti tajuta, kuinka hataralla pohjalla oikeasti on WiFi yhteydet ja tietoturva internet nettiyhteyksissä on. Opettelen kaiken itse ja olen ollut usein edellä montaa muuta ja vaikeuksissa tapauksissa, jossa laitan tietokoneen ohjaamaan yhteyksiä, joka on varmaan laitevalmistajien painajainen, mutta teen sitä, koska se on mahdollista ja laite ei itse pysty käsittelemään sille asetettuja vaatimuksia. Tämän takia osa ei ymmärrä sitä, esimerkiksi Ciscon koulutuksen saamat ihmiset eivät osaa tehdä samaa, kuin minä.

Jos tätä on onnistuutu käyttää hyväksi, niin Telia on todella syvässä unessa ja tekee juuri sitä mitä hakkerit toivovat Telialta. 

CVE-2024-3780

Julkaistu: 15. huhtikuuta 2024.

Hakkerit korkkaa joka ikisen paikan, jonka tietoturva on retuperällä. Tätä on tapahtunut esimerkiksi yhdysvalloissa ja sitten operaattori on joutunut tarjoamaan ilmaiseksi uusia kaapelimodeemeja, koska vanhat kaapelimodemit ovat mykistyneet.