El Investigador de seguridad Pierre Kim ha publicado un gran número de vulnerabilidades en los routers Toto-Link que permiten a atacantes remotos pueden hacerse cargo por completo.

Recordemos que los routers Toto-Link tienen en Corea del Sur en el mercado para los consumidores y las pequeñas empresas con una cuota de mercado del 80%.

Además, los dispositivos se venden en todo el mundo. Kim decidió no informar al fabricante sobre sus hallazgos y publicó su investigación el mes pasado en varias listas de correo y su propio weblog.

• Backdoor and RCE found in 8 TOTOLINK router models
• Backdoor credentials found in 4 TOTOLINK router models
• 4 TOTOLINK router models vulnerable to CSRF and XSS attacks
• 15 TOTOLINK router models vulnerable to multiple RCEs

TOTOLINK  - Cómo no manejar los problemas de seguridad

• https://pierrekim.github.io/blog/2015-08-13-TOTOLINK-how-to-NOT-handle-security-issues.html

En una reacción Zioncom dice que los informes sobre vulnerabilidades son irresponsables y es información no verificada, haciendo la reputación de la compañía está en juego.

El fabricante añade que la red no pone en peligro la privacidad del usuario y la seguridad y para tomar acciones legales contra los medios de comunicación que difunden información falsa y dañar la reputación de la empresa y sus productos.

 En cuanto a la contraseña por defecto en el dispositivo, uno de los problemas descubiertos Kim, los usuarios se les recomienda cambiarla.

Dear Valued TOTOLINK Customers,
ZIONCOM (HK) Technology Ltd (ZIONCOM, the manufacturer of TOTOLINK Router), would like to make an official announcement regarding some inappropriately news report from network media that were totally irresponsible behavior for reporting some unverified information to damage our company reputation.
1. TOTOLINK do not compromise user privacy and security, TOTOLINK product has not been installed any monitor software on user behavior after we verified all of our current inventory in Hong Kong market so it is impossible to monitor user behavior. ZIONCOM will reserve the right to take legal action against the media report on the wrong information broadcasting that may damage our company and product reputations.
2. Regarding the problem of a default login password of a TOTOLINK router may trigger an invasion from hacker through remote control, we would like to recommend all users to change the default password at the first time login.We will make an announcement through our Global website ( http://www.totolink.net ) for launching new firmware update program for solving the bug soon.
We would like to thank you for all users to continually support on our products. Your supervision is the biggest

También nuevo firmware apareció para remediar los problemas. Pero Kim analizó el firmware y sugiere que la puerta de atrás, que descubrió aún está presente, simplemente ahora no se carga en el inicio. Además, el problema con algunos modelos no se ha solucionado.

$ wget -O 'TOTOLINK%20N300RH-V2.0.1_20150725.zip' 'http://www.totolink.net/include/download.asp?path=down/010500&file=TOTOLINK%20N300RH-V2.0.1_20150725.zip'
$ 7z x TOTOLINK%20N300RH-V2.0.1_20150725.zip
[...]
$ binwalk -e *web
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
16 0x10 bzip2 compressed data, block size = 900k
309403 0x4B89B LZMA compressed data, properties: 0x88, dictionary size: 1048576 bytes, uncompressed size: 65535 bytes
320182 0x4E2B6 LZMA compressed data, properties: 0x5D, dictionary size: 8388608 bytes, uncompressed size: 3414764 bytes
1274560 0x1372C0 Squashfs filesystem, little endian, version 4.0, compression:lzma, size: 2251972 bytes, 321 inodes, blocksize: 131072 bytes, created: Thu May 4 11:47:12 2006
$ cd _*/
$ 7z x *squashfs
Processing archive: 1372C0.squashfs Extracting bin
Extracting dev
[...]
Everything is Ok
$ strings bin/skt | grep iptables
iptables -I INPUT -p tcp --dport 80 -i eth1 -j ACCEPT
iptables -D INPUT -p tcp --dport 80 -i eth1 -j ACCEPT
$ tail -n 5 etc/init.d/rcS
# start web server
boa
#skt&

Fuentes:
https://pierrekim.github.io/blog/2015-08-13-TOTOLINK-how-to-NOT-handle-security-issues.html
http://www.totolink.net/sub/news/board_content.asp?b_type=BOARD1&idx=165