光纤路由器爆RCE漏洞，上百万台家用路由器门户洞开
报价宝综合消息光纤路由器爆RCE漏洞，上百万台家用路由器门户洞开
安全公司发现光纤路由器出现远端程式码执行（remote code execution，RCE）漏洞，让骇客只要以改造过的URL即可远端骇入。曝险装置目前集中在墨西哥、哈萨克及越南等地。
安全公司vpnMentor针对大量GPON（Gigabit Passive Optical Network）家用路由器进行分析，发现这些路由器固件存在两个重大风险漏洞，分别为CVE-2018-10561 及CVE-2018-10562，前者可让骇客绕过路由器上所有验证，后者则允许被骇路由器上注入与执行远端指令。
该公司也释出了一段影片来呈现他们的发现。
借由CVE-2018-10561，骇客只要在浏览器的网址列输入一道URL，后加入?images/，就能绕过所有验证机制。安全研究人员指出，这项攻击手法是利用装置验证时检查URL特定路径，因此不只对GPON路由器，对HTTP服务器也有用。而在结合第二项漏洞，骇客即可注入指令，接管路由器甚至网络。
安全公司指出，GPON是一种常见的被动光纤网络，通常此类家用路由器是由ISP提供，估计全球有1,054,692台GPON路由器曝险，墨西哥及哈萨克为最主要集中地，其他地区包括越南等。研究人员分析测试的GPON路由器样本皆存在漏洞。
ZDNet引述研究人员报导，出现漏洞的路由器来自韩国的Dana Networks，而受影响最甚的ISP为墨西哥的Telmax。
此外研究人员更指出，由于路由器的关键地位，上述漏洞可能殃及整个网络，使整个网络上的装都沦为僵尸装置。
研究人员建议个人用户检查家中路由器是否为GPON网络，并联络ISP检查及修复问题。
