多种设备基于 SNMP 协议的敏感信息泄露漏洞数据分析报告 Secer's Blog

作者：知道创宇404实验室
English version：https://paper.seebug.org/796/

1. 更新情况

2. 事件概述

SNMP协议[1]，即简单网络管理协议（SNMP，Simple Network Management Protocol），默认端口为 161/UDP，目前一共有3个版本：V1，V2c，V3。V3是最新的版本，在安全的设计上有了很大改进，不过目前广泛应用的还是存在较多安全问题的V1和V2c版本。SNMP协议工作的原理简单点来说就是管理主机向被管理的主机或设备发送一个请求，这个请求包含一个community和一个oid。oid就是一个代号，代表管理主机这个请求想要的信息。被管理的主机收到这个请求后，看请求community是否和自己保存的一致，如果一致，则把相应信息返回给管理主机。如果不一致，就不会返回任何信息。所以community相当与一个认证的口令。V1和V2c版本的SNMP协议都是明文传输数据的，所以可以通过抓包嗅探等手段获取认证需要的community。

2018年12月25日，Seebug 平台收录了多个基于SNMP协议的敏感信息泄露漏洞[2]。在多种厂商提供的网关类设备中，可以使用任意 community非常容易地读取SNMP提供的明文形式的的Web管理系统的用户名和密码、Wi-Fi凭证等信息。也可以使用任意community通过SET协议指令发送配置更新或控制请求，攻击者可以注入恶意的配置，如在Cisco DPC3928SL通过注入SSID造成Web管理系统的XSS（CVE-2018-20379）。

该漏洞最早于 2017 年 4 月 4 日曝出，CVE编号为CVE-2017-5135，漏洞发现者将该漏洞称之为 Stringbleed[3]。2018年12月22日，时隔一年多，漏洞发现者进行全球探测后提供了一个很全的漏洞影响列表，其中包含23个不同厂商78个不同型号的网关设备，同时申请了多个CVE编号（CVE-2018-20380～CVE-2018-20401）。关于漏洞的成因一直都在争论之中，截止目前依然没有最终定论[4]。该类设备一般由ISP提供，我们暂时没有找到漏洞设备或固件对漏洞原理进行研究。根据社区的讨论结果，产生该漏洞的原因可能有以下几种情况：

这些存在漏洞的设备使用了同一个存在逻辑缺陷的SNMP协议实现，该实现代码没有正确处理 community 字符串认证，导致任意 community 均可以通过认证，进一步导致敏感信息泄露。
ISP 配置错误，无效的访问控制规则。

本文不包含漏洞分析，而是针对全球该类设备漏洞存在情况的数据分析报告。

3. 漏洞复现

直接使用 snmpget 命令发送 SNMP GET 请求即可， -c 选项指定任意字符串作为 community 均可通过认证。

snmpget -v 1 -c public $IP iso.3.6.1.2.1.1.1.0
snmpget -v 1 -c '#Stringbleed' $IP iso.3.6.1.4.1.4491.2.4.1.1.6.1.1.0
snmpget -v 1 -c '#Stringbleed' $IP iso.3.6.1.4.1.4491.2.4.1.1.6.1.2.0

复现结果如下：