vpnMentor publie un patch non-officiel corrigeant des vulnérabilités zero-day affectant les routeurs fabriqués par Dasan Networks

Deux vulnérabilités critiques (CVE-2018-10561 & CVE-2018-10562) ont récemment été découvertes dans les routeurs populaires fabriqués par Dasan Networks, en particulier les séries ZNID-GPON-25xx et ONT GPON H640 de la marque.

La première vulnérabilité permet de contourner le mécanisme d'authentification de l'appareil alors que la deuxième permet l'exécution de code arbitraire. Il est ainsi assez simple d'exécuter des commandes et d'extraire leur sortie avec la vulnérabilité de contournement d'authentification. Les deux vulnérabilités combinées permettraient de prendre le contrôle total de l'appareil et donc du réseau ciblé. Un bulletin technique est accessible en suivant ce lien.

Il est à noter que, depuis leur publication fin avril, ces vulnérabilités sont activement exploitées à travers le monde et, qu’à ce jour, Dasan Networks n’a publié aucune mise à jour de son firmware.

En l’occurrence, vpnMentor a pris l’initiative de publier un patch qui peut être téléchargé à partir de leur site web. Le portail explique les étapes à suivre pour installer la solution proposée.