Encuentran graves fallos de seguridad en muchos routers de operadores en España

Se han detectado importantes fallos de seguridad en un gran número de routers proporcionados por los operadores españoles. Los fallos de seguridad encontrados afectan a diferentes apartados, empezando por el ya famoso fallo de UPnP que se descubrió hace años y que la mayoría de fabricantes no han parcheado en las últimas versiones de firmware. Además estos investigadores han descubierto otra serie de vulnerabilidades que hacen referencia por ejemplo al agujero de seguridad del tipo XSS persistente y XSS no autenticado, ...

[#1 --394145--]

Sera culpa de los becarios...

[#2 Isdc]

#1 Viendo la chapuza de seguridad que tienen desde luego

[#3 ruinanamas]

Los operadores españoles solo cambian el firmware cuando se trata de sacar pasta. Lo mejor es usar routers con firmware como openwrt o dd-wrt.

[#4 Libertual]

¿problem?  

[#5 ann_pe]

El router más usado por Orange también sale en la lista de afectados, y lo peor es que Orange les ha puesto un firmware chapucero que aunque en los menús de configuración aparece la opción de desactivar UPnP no funciona, no hay manera de desactivarlo, y otras cosas que directamente no dan opción a desactivar como el servidor CIFS. Lo peor es que a muchos clientes les obligan a usar este router porque el teléfono va por voip y Orange no te facilita los datos de configuración de esto para usarlo con otro router.

[#6 Isdc]

Relacionada: www.redeszone.net/2015/05/30/decenas-de-modelos-de-routers-de-operador

[#8 ann_pe]

#7 Las versiones oficiales de OpenWrt las puedes descargar de forma segura desde su web https.

[#10 --298049--]

#9 Lo siento pero los routers de Vomistar están "capados" y sólo aceptan firmwares firmados por Vomistar. Para conseguir poner el firmware original del fabricante, normalmente con más prestaciones y menos fallos, hay que desbloquear el router usando un cable especial de consola que suele conectarse a un puerto oculto en el interior del router. Algunos modelos no necesitan cable especial pero si entrar con una contraseña especial de servicio que permite actualizar. Y no, tu operador no te va a dar la clave maestra.

[#13 --298049--]

#10 Tira eso hombre

Si puedes conseguir un "router broadband" por ejemplo el clásico WRT54 que no tiene la parte ADSL pones el Xavi en "bridge" ficticio y así usas solo el modem adsl del xavi y todo lo demás del WRT: Pones el DHCP del Xavi para que de una sola dirección (por ejemplo 10.0.0.1) y abres todos los puertos sobre esa ip, conectas cualquier boca del Xavi a la boca WAN del otro y ya lo tienes. Pero si puedes pillarte un router adsl completo mejor.

[#14 --298049--]

#11 No se que he pulsado pero me he contestado a mi mismo Para ti era el mensaje #13

PS.

Espera, que tu le pillas la wifi al vecino Perdona, olvidalo. Estoy espeso que no he dormido esta noche controlando que no fuesen los Mossos a desalojar a los compañeros.

[#16 --371029--]

#7 metele un openwrt o dd-wrt(mas rapido de configurar diria yo) entre el router de los timadores y tu red local, almenos vas a proteger tu red local.

[#17 Isdc]

Se pueden leer con más detalle las vulnerabilidades (al aprecer son más de 60 en 22 routers) aquí:
packetstormsecurity.com/files/132074/22-SOHO-Router-Vulnerabilities-Di
Desde luego es preocupante ver que algunas vulnerabilidades están en casi todos.

[#18 Edd]

Por si a alguien le es útil:

www.grc.com/shieldsup

[#19 Isdc]

#18 Gracias por compartirlo

[#21 --366202--]

novedad!!

[#22 --373619--]

#11 En Lidl venden un router que...

[#23 --100894--]

por eso siempre el router del operador totalmente capado y por detrás un buen router neutro…

[#24 Miguel_Angel_Fernández_]

A riesgo de parecer friki, los mejores routers precio/prestaciones que hay ahora mismo son los Mikrotik. Hace poco migré mi ADSL a fibra de Movistar y tenía clarinete que no iba a dejar que un router de tetafonica manejara mi conexión.

Así que compré por Amazon un RB750GL por 60 lereles. No hay color. Con el router de Movistar no pasaba de los 98 mbits cuando es un hecho comprobado que Movistar supera los 100mbits (me llegan realmente 103) en descarga conectado por ethernet.

Los Mikrotik tienen soporte directo del fabricante en su web, y actualizan regularmente el sistema operativo (RouterOS), que está basado en el núcleo Linux. De hecho mientras escribo esto, veo en su web que han sacado la versión 6.29 el pasado día 28.

Si, si, ya se. Son un poco complejos de configurar, pero es que son la puta caña, y puedes hacer maravillas con el. También hay un montón de documentación al respecto en Internet, y aunque no son comparables a los Cisco, ya digo que por precio/prestaciones son, sin ninguna duda, los mejores.

É un poné, claro.

[#26 Cehona]

#11 Comprueba en la comunidad movistar tu firware
comunidad.movistar.es/t5/Soporte-Técnico-Banda-Ancha/quot-Firmware-qu

[#27 --50121--]

#24 Otro Mikrotik por aquí, es lo mejor que se puede poner con la fibra. Desde que lo puse, ya me he olvidado de reiniciar, de cosas raras con la conexión, etc .

[#28 --425756--]

Recuerdo un router de Orange que tuve que ponerle el firmware yo manualmente si quiera para que funcionase.
Fue actualizar y se acabaron los cortes y llamar al servicio técnico.
Lo dejé tan bien que ahora hace de hub, tantos años después...

[#29 Mr.Bronc]

Lo primero que hay que hacer si controlas del tema, es cambiar el password de acceso a configuración del router, para evitar que tu ISP "te ayude a configurarlo". Y si tienes pasta, hazte una barbacoa con él, y cómprate un buen Cisco.

[#30 Trigonometrico]

#22

[#31 --473486--]

#3 xx-WRT sólo soporta routers, no módems.

[#32 --376568--]

El fallo grave de seguridad de los de ONO es que no puedes desactivar el WIFI, y tienes que gastar tu energía eléctrica para dar WIFI, en teoría a cualquier cliente ONO que pase por la calle. La realidad es que el WIFI ONO no vale para nada ya que con un smartphone normal difícilmente se conecta nadie a una señal WIFI que viene tras una ventana del 6º izquierda.

[#33 Watermann]

#27 pues yo tengo el que te dan y funciona perfectamente... 0 problemas en meses, tocare madera

[#34 --463341--]

#32 El wifi de ONO si se puede desactivar que yo sepa...

[#35 vejeke]

En su casa mi novia tiene FTTH de Movistar (también imagenio). El router que le dieron fue un Comtrend WAP-5813n y para que os hagáis una idea de lo "seguro" que es si no acordáis de la contraseña que tiene no pasa nada, basta con entrar en 192.168.1.1/password.cgi y ver el código fuente de la página. Y ahí está, en texto plano.

Pero ahora viene lo bueno. Esos routers os los podéis encontrar a montones en cualquier tienda de segunda mano (al estilo de Cash Converters) con precios que van desde 1 a 5€. No es coña, he visto varios por 1€. Como Movistar no los reclama la gente los vende intentando sacar algo. El firmware que traen es una porquería pero son Gigabit Ethernet y Wi-Fi n y además funcionan de lujo con OpenWRT.

No solo eso, sino que con el OpenWRT podéis configurar el imagenio y además tener VOIP por la cara:

foro.seguridadwireless.net/openwrt/(tutorial)-movistar-ftth-con-openwr


No quiero alargarme mucho, pero en resumen tiene un router super seguro (que no ha tenido que comprar porque ya se lo dio telefónica) con OpenWRT, que le sigue permitiendo ver imagenio y además hacer llamadas VOIP desde dentro de su red con el móvil (vía Wi-Fi) o su ordenador como si llamase desde su fijo. Pero ahí no acaba la cosa. Se pilló un domino propio (cuesta apenas 7€ al año con 1&1 o Don Dominio) que gracias de nuevo a OpenWRT y a freedns.afraid.org apunta siempre y de forma gratuita a su router aunque cambie de IP y así no importa tener IP dinámica y siempre puede acceder a su ordenador de sobre mesa esté dónde esté.

Además, tener un domino que siempre apunta a su router con OpenWRT le permite su propia VPN gratis con OpenVPN que a su vez permite que haga llamadas desde su teléfono móvil a cualquier fijo nacional gratis, o que cuando suene el fijo de su casa lo pueda coger desde su móvil esté donde esté. Sólo necesitas el Zoiper y el OpenVPN para android. Y a todas estás telefónica sin saber nada ya que no distinguen entre las llamadas que se hacen desde el teléfono fijo analógico que le llega al ONT y se envía mediante SIP y el tráfico SIP que puedas generar desde tu LAN con cualquier dispositivo...  

[#36 Ehorus]

#11 hum...pillate el virtualbox o el vmware client, te bajas la ISO de windows server 2012 .. ejecutas el exe, borras la imagen, quitas el sistema de virtualizacion... y como antes.
No veo que sea un obstaculo... eso siempre que el wine no te funcione.

[#37 elbuit]

Tengo un comtrend y ya me han cambiado los dns por unos en holanda.
Me di cuenta cuando aparecian popups en la web de amazon.es diciendome que me actualizara el flash(setup.exe).
Eso desde mi tablet android

[#38 --420014--]

Claro, se actualizan menos que un móvil chino de 50 euros....

[#39 --376568--]

#34 Llamando por teléfono a ONO. Pero la gente dice que se toman nota pero no te lo desactivan. www.ono.es/clientes/te-ayudamos/dudas/foro-particulares/-/action/posts

[#40 efedoso]

#11 En la misma página de OpenWRT hay una lista de aparatos compatibles. Te puedo decir que instalar OpenWRT en este es sencillo y el resultado satisfactorio:
www.buffalo-technology.es/es/urunler/kablosuz-ag-ueruenleri/300mbps-wi

Tengo el guión del procedimiento si lo necesitas.

[#41 vejeke]

#24 #27 #29 A veces no hace falta cambiar el router, sólo de firmware. Véase #35.

#31 Eso no es problema, si tienes ADSL pones el router/modem que te da tu ISP para que trabajo sólo como módem y pones un router neutro que haga de router. Luego le metes OpenWRT y punto. Si tienes FTTH es muy probable que el router que te den sea neutro directamente.

[#42 --463341--]

#39 Pero en el router hay una opcion de desactivar Wifi, no sabia que permanecia activado tras quitarlo

[#45 --473486--]

#41 Pero si sigues usando el del ISP, estás en las mismas.¿o no?

[#46 vejeke]

#11 Yo creo que tengo el mismo router. El Xavi 7968P+.

Lo tengo únicamente como módem ADSL con una línea de pepephone, luego tengo un TP-Link TL-WDR4900 con OpenWRT que hace de gateway, router y punto de acceso Wi-Fi. Él es quien se conecta realmente a Internet (mediante PPPoE) y no el Xavi.

Tal y como está me va de lujo, así que si el Xavi no se te ha roto ni te han puesto fibra no lo tires, yo te digo cómo configurarlo y verás que aún le quedan años de buen fútbol.


#12 #13 Olvidaos pero ya del WRT54G. Fue muy bueno (de hecho tengo dos), pero es un dinosaurio (2002), ni siquiera es Gigabit Ethernet, y la Wi-Fi es b/g. Va a pedales. Hoy día hay alternativas totalmente configurables y compatibles con OpenWRT muchísimo mejores y mucho más baratas... El TP-Link TL-WR1043ND por ejemplo, que es de hace cinco años y por el mismo precio traía Gigabit Ethernet y Wi-Fi n, que podríamos decir que era el estándar de calidad de hace 3-4 años.

Pero es que eso, como dije en #35 prácticamente lo regalan en cualquier tienda de segunda mano en forma de Comtrend WAP-5813n (Gigabit Ethernet y Wi-Fi n) desde 1€ y 100% compatibles con OpenWRT.

Que ya estamos en 2015, que ahora cualquier router SOHO que se precie viene con Wi-Fi ac, dos radios (una 5 GHz otra para los 2,4 GHz), Gigabit Ethernet en todos los puertos Ethernet y NAT por hardware...  

[#47 vejeke]

#45 No, porque el fallo de seguridad está en el firmware.

[#48 PerroGranadino]

ADSLZONE? Vaya... Vaya... Qué gran medio www.meneame.net/m/actualidad/adslzone-despide-3-trabajadores-cnt-denun

[#49 Profesorapiano]

Alguien puede explicar en que consistía laa vulnerabilidad upnp y que consecuencias podía generar?

[#51 --473486--]

#47 De verdad, no lo entiendo. Si estás usando el modem-router que proporciona el isp, aunque sólo lo uses como módem, estás usándolo. Por tanto sigues siendo vulnerable.
Qué tiene que ver que uses un router a parte, si sigues usando el vulnerable.
Lo digo en serio. Creo que somos muchos los que queremos dejar de ser vulnerables, pero no gasto en un router neutro, si realmente no merece la pena.
Sí, lo sé, me explico como un libro cerrado.

[#53 --280860--]

#10 Cable especial no es es solo un miserable cable serie ttl 12v a ttl 3,3v
O usar usb a puerto serie ttl 3,3v.
El problema de los firmnwares open es que el módem adsl no van ya que ningún fabricante dan el codigo ni explican el uso las librerias para controlar el DSP del modem adsl.
Solo se tiene aceso a la cpu/s flash nand y ram chip enthernet y wiffi +usb el modulo adsl es top secret.

[#54 vejeke]

#51 A ver, el problema es el firmware. Si tienes fibra el router que te pone telefónica es neutro (sólo router, no "router/módem ADSL") y le puedes poner otro firmware más seguro como el OpenWRT. Yo no tengo fibra sino ADSL y lo que he hecho es que el Xavi actúe sólo como módem a nivel de enlace y no toque el nivel de red (IP) que de eso ya se encarga un router neutro que compré aparte, de modo que desde Internet no pueden atacar al Xavi porque no lo ven (está un nivel por debajo), a quien ven es al TP-Link con OpenWRT que es quien tiene la IP pública.

[#55 --280860--]

#52 Tira con ese router es puta basura el chip es decente pero el puto ingeniero que diseño la parte analógica es para matarlo se come casi 1 mega sincronismo.
Routers como el wag2 llevando el mismo chip le dan mil patadas sincronizando.
Lo peor es la limitación de ram para las tablas de NAT de ese router.

[#56 --280860--]

#54 Espero que estés pegado al dslam porque ese módem en el xavi esta sordo sincronizan de lo peor.

[#57 vejeke]

#56 Varios kilómetros pero va bastante bien. Tengo 33 dB de atenuación y suele sincronizar entre 12 y 13 Mbps. Eso si, no se lo digas a nadie pero quité el PTR y le crimpé un RJ11 directamente al par de cobre... y lo tengo directo al Xavi.

[#59 el_de_la_silla_de_tijera]

Voto errónea hasta que adslzone trate a sus trabajadores como debe, y no como falsos autónomos.

Para mí está vetada como si fuera un medio AEDE.

[#60 dudo]

#59 Uff, pues todas las emisoras de radio trabajan con falsos autónomos, y muchos mas sectores… igual ni puedes salir de casa si quieres no tener contacto con ellos.

[#61 el_de_la_silla_de_tijera]

Cuando los juzgados así lo declaren, así será. El que lo hagan muchos no implica que esté mal hecho (y que es ilegal).

Trabajo en un medio de comunicación. Con nómina. Fija. Nunca me han ni siquiera sugerido ser falso autónomo. No puedo quejarme de ningún trato laboral sino todo lo contrario.

[#63 orangutan]

#35 ¿Afraid no da dominio gratis?

[#64 vejeke]

#63 Afraid da subdominios gratis, como no-ip, en plan micasa.no-ip.org pero nadie da dominios gratis. Tienes que pagar por ellos a un agente registrador.

Afraid lo que permite gratis es que si ya tienes un dominio propio (vejeke.net por ejemplo) apunte de manera automática a la IP pública del router aunque sea dinámica.

Algo que con Dyndns o No-ip te cuesta de 50€/Año para arriba...

[#66 Marinmenyo]

A mi movistar me puso un Amper cuando me di de alta con la fibra optica, que no se si esta afectado, pero al que era necesario reiniciar el wifi cada dia.
Total, estuve mirando información y acabé pillando un Asus RT-N18U y nada que ver.
Se ve que es compatible con dd-wrt pero por ahora no lo he probado, me basta y me sobra con el panel de configuración que tiene.
Ademas de tener usb2 y usb3, cliente bittorrent, un ddns gratuito de asus.....
A veces una pequeña inversión vale la pena.

[#67 Marinmenyo]

#35 Te podrias alargar, o dar fuentes de los dos ultimos parrafos?{take}
Mas que nada por aprender algo nuevo y cacharrear

[#68 vejeke]

#67 Claro, ¿sobre qué quieres que me extienda?

OpenWRT, Dominio propio e IP dinámica, VPN, VoIP.

[#69 David_VG]

#35 Yo antes hacía esas cosillas con un NSLU2. Como ñapa de dos duros está bien, pero necesita al menos otro tanto de RAM o 4 veces esa RAM para hacer las cosas sin arrastrarse.

Aun así, te voto positivo porque es muy interesante.

[#70 orangutan]

#64 a lo que me refería es que para hacer VPN con la ip dinámica de casa no necesitas pagar nada, basta con usar un subdominio gratuito.

[#71 vejeke]

#70 Por supuesto y es lo que se suele hacer, pero ella ya tenía un dominio propio que quería utilizar.

Yo estuve muchos años con vejeke.no-ip.com de forma gratuita pero queda mucho menos cutre usar vejeke.net pudiendo hacer lo mismo por unos cincuenta céntimos al mes...

Lo triste es que muchos no lo saben y acaban pagando cosas como:

www.noip.com/remote-access o es.dyn.com/remote-access/

Fíjate en cuanto te hacen pagar* por hacer lo que tanto ella como yo tenemos.

*ese es el precio con el que se publicitan, si te registras e intentas realizar el pedido verás que entre pitos y flautas lo que al final acabas pagando se te va tranquilamente al doble.

[#73 --280860--]

#57 Yo probaría con otro router me da que te vas llevar un sorpresa.
Cuando me dedicaba hakear routers ya que eran baratos ese router no me gusto nada su front end de la etapa adsl los mejeres que tengo visto son los de los netgear y el combo con mas ganancia mirando reviews y graficas es el netgear dg834 V4 el v5 lo tuve y lleva el mismo chipset pero solo ganas 300k siendo un poco mas inestable.
De hecho es el que uso desde hace 7 años otros modelos pierdo demasiado y el xavi el peor con diferencia probado en mi adsl con 55db atenuación y con un adsl de 12db del curre daba pésimas sincronizaciones.
Tube el wag54g2 que lleva el mismo chipset y también muy buen router a la otra exprimir la linea.
Lo repito el xavi es terrible como router.

[#74 vejeke]

#73 Pues tendré que probar a ver, aunque de este Xavi no me puedo quejar. Por ejemplo ahora mismo con 33.5 dB de atenuación tengo 12198 kbps de subida y 949.5 kbps de bajada y un ping a google de 43.5 ms. Que no está nada mal...  

[#75 DaniTC]

#74 Qué poco se me hace. Eso es lo que tenía yo con 39 db. Con Anexo M saldrían 14-16Mb mínimo de descarga, no de subida como has puesto. Hay routers que se llevan mejor con algunos DSLAM que otros, te recomiendo probar si tienes la oportunidad.

[#76 vejeke]

#75 Perdón quise decir 12198 kbps de bajada y 949.5 kbps de subida.

Pues no he probado a sincronizar con Annex M para mejorar la subida y eso que creo que el Xavi si me lo permite. Un amigo tiene el WAG54G2 y creo que ya no lo usa, probaré a ver que tal.

[#78 DaniTC]

#76 Con el Anexo M se mejora también la descarga. The data rates can be as high as 12 or 24 Mbit/s downstream and 3 Mbit/s upstream depending on the distance from the DSLAM to the customer's premises.

en.wikipedia.org/wiki/ITU_G.992.5_Annex_M

[#79 vejeke]

#78 No, sólo mejora la subida con respecto al G.992.5 Annex A que es lo que estoy usando ahora. Por desgracia me parece que el DSLAM no me deja usar el M.

[#80 DaniTC]

#79 Jazztel era quién te permitía jugar con eso con cobertura directa. Ahora no lo sé, supongo que sí.

[#81 --280860--]

#74 Esa grafica siempre me pareció muy mala para orientarse no da seccion del cable ni pone a la impedancia que trabajan.
#80 Sigue dejando pero los que estén cerca a mi me lo chaparon mi linea en los tonos bajos no daba para mas y en los altos otro tanto no me quejo para mi atenuación.
ADSL Link  Downstream  Upstream
Connection Speed  4689 kbps  903 kbps
Line Attenuation  55.5 db  35.7 db
Noise Margin  8.4 db  8.4 db
En invierno llega a 5m de subida y 928 de bajada asi como por las mañanas.
netgear DG834 v4 con el DGTeam custom firmaware.
Log de la WAN activa PPPoE  44523167  73278574  0  1781  2269  429:32:16 <horas sin caidas eran mas pero hace unas semanas adsl se callo a las 12 telefono y adsl...
Port  Status  TxPkts  RxPkts  Collisions  Tx B/s  Rx B/s  Up Time
WAN  PPPoE  44524087  73279573  0  1781  2270  429:33:32
LAN  10M/100M  712735877  440574768  0  70  122  6415:42:33
WLAN  11M/54M  10810449  4901525  0  159  17  6415:42:23

[#82 DaniTC]

#81 La línea que tienes es una mierda, hablando claro. De hecho es bastante probable que pierda paquetes con ese margen de ruido tan bajo, no obstante está muy muy al límite. Normalmente la gente en este estado usa G.Dmt.

[#83 --280860--]

#82 Es lo que hay y gracias a ese router llego a esos casi 5m con otros se queda en 4m pelados.