Firmware Mitrastar GPT-2541 GNAC

[mrdv]

He leído varias quejas sobre el firmware del router FTTH Mitrastar GPT-2541 GNAC y quisiera hacer algunos observaciones:

- Mi incidencia empezó el 30/01/2020, estamos a 05/02/2020 y, a pesar de tenerla todavía abierta, nada he conseguido oficialmente. Vaya por delante mi sincero agradecimiento al personal de Teleco que se lo ha tomado tan en serio al entender el alcance de lo que estaba ocurriendo.

- El problema:

Comportamiento caótico (imposible conectarse a dominios independientemente de los protocolos/herramientas usados) ya que los paquetes se forman mal. Puede comprobarse mediante un nslookup y un ping. He elegido ssl.gstatic.com, un dominio relevante de Google, de amplia difusión para entregar el contenido estático (como el código JavaScript, imágenes y CSS) a un nombre de dominio diferente en un esfuerzo por reducir el uso de ancho de banda y aumentar el rendimiento de la red para el usuario final.

Mensaje: el analizador de mensajes informa de un paquete de mensajes con formato incorrecto, la dirección (address) es ilegible y el ping no puede realizarse porque el dns no resuelve..

- Firmwares:

Firmware más reciente: (el causante inicial del problema)

ES_g3.5_100VNJ0b54_7.bin

Firmware anterior: (a pesar de habérmelo cambiado no resuelve nada)
ES_g003_100VNJ0b54.bin

Firmware estable: (el que me he instalado descargado de "por ahí" ya que Telefónica/Movistar dice no tenerlo oficialmente para cargárnoslo remotamente)
ES_s00.00_g001_100VNJ0b38_2.bin

- Situación:

Personalmente he subsanado mi problema a través de la mencionada versión estable (b38_2). Solo pido que Telefónica me instale la misma versión (esta sí resuelve el problema) en remoto desde su fuente/central (o me envíe el binario para instalármela yo, algo que sé que no harán) para eliminar el riesgo de tener un firmware de procedencia desconocida que puede tener (o no) puertas traseras con todo lo que eso implica a la hora de mover datos confidenciales por la red.

- La solución del cambio de router:

Cuando todo falla (hablo de pruebas en remoto desde la central, algunas tan inocuas como hacerle un ping al router para ver si responde + el típico mensaje que nos indica que debemos apagar y encenderlo tras comprobar los cables) el técnico, que no tiene la culpa de nada, llega con un nuevo router bajo el brazo y lo conecta. Aquí pueden pasar fundamentalmente dos cosas:

1) Tiene la última versión del firmware por lo que al cabo de unos minutos o unas horas (ahí reside la incongruencia) todo empieza a fallar pero tanto él como el abonado lo han dado por resuelto. Si falla nada más conectarlo, aunque no lo parezca, es una suerte porque se tiene la prueba de que no funciona (y el técnico todavía no se ha ido).

2) El router es antiguo y la versión de firmware funciona aunque no sea la última. Aquí nos ha tocado la lotería aunque parezca increíble pero... cuidado que la auto-actualización puede dejarlo inservible en tiempo récord o al cabo de unas horas...

En resumen, lo primero que hay que hacer es no conectar el router a la FTTH sino conectarnos por ethernet desde un ordenador al router, deshabilitar el cliente TR-069 (encargado de la auto-actualización que nos lo volverá a dejar inservible tarde o temprano) y comprobar el firmware instalado. A cambio de esta maniobra "anti" TR-069 Alejandra, el portal de Movistar, no funcionará pero el router sí.

- Mientras tanto:

Como no podremos conectarnos, necesitaremos conectarnos de alguna manera para salir como sea del apuro... Un par de opciones:

a) Podemos abrirnos un hotspot en el móvil y conectarnos a él desde nuestro ordenador. Teniendo la incidencia abierta recibí el siguiente mensaje: "Info: Sentimos la incidencia. Mientras restablecemos tu servicio, tienes GRATIS datos moviles ilimitados en Espana durante 72h +Info: www.movistar.es/BonoExtra".

b) Conectarnos vía vpn: lo hice mediante OpenVPN en mi mac y me funcionó perfectamente pero seguro que mediante L2TP/IPsec, SoftEther VPN (SSL-VPN), MS-SSTP,... también va bien.

- Comprobar que el router funciona correctamente:

No hay ningún aviso (warning) y la dirección (address) se lee perfectamente.

- Conclusión:

Mi operadora me está obligando a tomar una decisión de riesgo en contra de mi voluntad porque, si no lo hago, mi router no funciona y además seguiré pagándole el servicio. Un firmware operativo es lo mínimo que se puede exigir y que no me tenga que buscar la vida mientras sacan una versión más reciente que solucione el problema (que nadie reconoce oficialmente) puesto que no quieren/pueden instalar la que  soluciona los problemas descritos por ser antigua. Estoy francamente muy sorprendido al comprobar que, a pesar de las quejas que van in crescendo (muchas de ellas en este foro pero no solo aquí), la operadora no hace una actuación global respecto a los routers/firmwares afectados. Si esta incidencia se propaga, la principal perjudicada será la propia operadora porque no todo el mundo tendrá tiempo y conocimientos para hacer lo que acabo de contar o bien porque no asumirán el riesgo de hacerlo y, en el peor de los casos, cambiarán de operador para no seguir sin servicio.

¿Alguien de Movistar que me haya leído puede ayudarme? (puedo facilitar número de incidencia y datos personales por privado si así se me requiere, conozco el protocolo, gracias).

[luisgsluis]

Hola,

la verdad es que es una pena la falta de una solución a este tema.

Aunque no sea una versión oficial y entendiendo los riesgos ¿podrías enviarme acceso al firmware estable ES_s00.00_g001_100VNJ0b38_2.bin?

Muchas gracias

[jalp61]

Hola @luisgsluis ,

Yo lo tengo instalado desde  Noviembre, ante la imposibilidad de poder utilizar un router neutro con el último firmware. En cuanto a su origen: Movistar

Alguien tuvo la buena idea de tener una copia de seguridad de este firmware antiguo y  menos mal. Movistar nunca va a reconocer que el último firmware funciona mal, además de opciones capadas, de complicar la vida a los usuarios para poder colocar su propio router.

Un saludo

[luisgsluis]

Gracias, acabo de conseguir esta version en otro foto.

Saludos!

[jalp61]

Parece  que han eliminado el enlace para dicho firmware.

Pensaba que los tiempos de la Santa Inquisición era cosa del pasado.

Ahora facilitar información a otros usuarios para instalar un firmware es motivo de censura

Lamentable

[mrdv]

@luisgsluis 

Si la versión es: 1.00(VNJ0)b38_2.bin

Comprueba que el sha-256 sea:
 459fde5ed68746d653f425dc2157e08c7453540a9acfe63a210812673361f18d
para estar seguro de que no haya sido manipulada.

[luisgsluis]

Buen apunte, gracias

[luisgsluis]

Comprobado, actualizado y subido... Todo funciona sin problemas.

Si alguien quiere buscar el firmware probad a buscar en forocoches el HILO OFICIAL: MITRASTAR GPT-2541 GNAC, Acceso, cambio de firmware, bloquear TR069

[Theliel]

Buenas @luisgsluis y CIA.

Soy el primero que en la medida que puede pone toda la información posible, y más de una vez he estado rozando la línea roja. Pero guste más o guste menos, como se suele decir, la ley es la misma para todos. Que no esté de acuerdo con la ley no significa que no la tenga que cumplir. Si el ISP, ya sea por el  fabricante o por ellos mismos no la facilitan y bloquean el acceso a ella de todas las formas posibles, es por algo. Que esté de acuerdo o no con ello es otra cosa totalmente diferente.

En el  Mitrastar de dos antenas incluso llegué a crear mi propia Firmware basada en la oficial, pero eso no significa que pueda, y jamás se me ha pasado por la cabeza, distribuirla. Con los HGU tres cuarto de lo mismo, puedo crear firmwares a mi gusto, quitar/añadir contenido... y no me importa escribir sobre como potencialmente es posible hacer ciertas cosas, pero por otro lado tiene que imperar la responsabilidad, y el sentido común.

Guste más o menos son equipos que suministra el ISP para funciones muy concretas de sus servicios, y quien los use está atados a ellos. Nada nos obliga usarlos, quien quiera puede adquirir un equipo neutro, incluso con un OS de código abierto en el que pueda toquetear lo que quiera. Pero este no es el caso.

Usar a día de hoy una firmware no actualizada es un peligro en mayúscula, infinitamente mayor a cualquier problema que pueda causar la propia firmware. Estoy de acuerdo que las políticas respecto a las funcionalidades añadidas a los HGU distan mucho de lo que yo habría hecho, y me parece un error, pero el problema principal no es ese, el problema es que implica no estar protegido de los exploits. Un Router de Movistar no actualizado es un caldo de cultivo muy jugoso, porque no son ni 2 ni 3 los usuarios, son cientos de miles o millones incluso.

Y sé todo esto porque soy el primero que ha tenido que reportar más de uno. Muchos pueden creer que esto tampoco es muy peligroso... bien, hablo de fallos de seguridad que permiten, por ejemplo, secuestrar el Router completamente y de forma remota. Uso mi propio Router y por seguridad audito y registro posibles ataques... al día tengo al menos 100-200 intentos de acceso no autorizado por medio de exploits conocidos.

Entiendo el problema de las firmwares y el tiempo que tardan en actualizarlas para solucionar los problemas que tienen, pero usar una firmware desactualizada os aseguro que es infinitamente peor el remedio que la enfermedad. Absolutamente todos mis equipos, y eso incluye familiares, amigos... los tienen actualizado pese a que sí, algunas versiones actuales dan algunos problemas en determinados escenarios.

Por supuesto, cada cual que haga lo que estime, yo desde luego no pongo la  seguridad de mi red y de mis equipos en jaque.

Saludos.

[luisgsluis]

Efectivamente cada cual debe hacer lo que estime más oportuno. En mi caso, el router NO funciona bien can varios dispositivos y el repetidor. No es una opción. 

[JesúsGonzálezMaestre]

Es que no son problemas menores. Yo tengo desconexiones cada dos por tres, lo que impide realizar cualquier trabajo online de cualquier tipo. Amen de otros tantos errores como que haya dispositivos que en toda la tarde no se conecten, reinicios...etc

 En mi caso, no tengo alternativa. El problema es que, al menos yo, soy incapaz de tener actualmente la versión del firmware estable ( no sé por qué motivo) ya que aunque bloqueé la telecarga sigue actualizandose a la versión nueva

[mrdv]

@Theliel: ya hemos hablado de esto en otra ocasión pero parece que no quieres entender que, cuando alguien intenta hacer un downgrade, no es por gusto sino porque no hay más remedio al menos no sin meterse en gastos como la compra de un router adicional y de tener los suficientes conocimientos para ponerlo en funcionamiento de manera segura.

En cuanto a las vulnerabilidades de una determinación versión también he señalado que pueden seguirse en las webs especializadas al respecto y que tener la última versión disponible no es garantía de nada solo de la ilusión de creer que, por no haber sido todavía descubiertas/informadas, estamos a "salvo". En cuanto a la mencionada versión 1.00(VNJ0)b38_2.bin, hasta donde yo sé, no tiene ninguna vulnerabilidad documentada a fecha de hoy, pero si las hubiere lo responsable de cara a todo el mundo sería enseñarnos dónde recabar dicha información para evitar su instalación.

@luisgsluis : a mi lo que realmente me sorprende es que a algunos se nos hayan solucionado los problemas y a otros no; es absolutamente incomprensible si no nos lo explican fehacientemente.

[Theliel]

Buenas @mrdv 

Existen exploits y exploits. Por supuesto existen bases de datos ingentes de boletines CVE, o incluso si se quiere se puede mirar en el NVD americano, para vulnerabilidades hechas públicas y registradas. Te voy a poner ejemplos concretos si quieres, y no sé si existen CVE actualmente de ellos:

Mitrastar: Exploit en cliente-servidor TR069 que permite según que configuración y versión inyectar código remoto, como por ejemplo la descarga y ejecución de un backdoor. Potencialmente, no comprobado personalmente, otros Routers también

Askey: Vulnerabilidad WPS, contraseñas WIFI en 2 segundos.

Y en absoluto me considero un genio o un hacker.

--------------------------

Está claro que por actualizado que esté un hardware o software nada asegura que sea inviolable, no hay sistema perfecto, pero al  menos se solucionan los... "viejos conocidos".

Respecto al problema que existe, no sé si ha sido en este hilo o en otro, lo repito, para poder solucionar un problema, el que sea, a menos que pueda reproducirse en un entorno controlado para saber que y donde falla, es casi imposible poder solucionarlo. No porque el problema no exista, sino porque muchas veces el problema es debido a la interacción específica de varias variables juntas.

Tengo un par de Mitrastar HGU "controlados" 24/7 con acceso remoto, actualizados, y debido a conocimientos tengo acceso total al sistema, y no soy capaz de reproducir los problemas, que repito no significa que no existan. Animo a cualquiera que tenga mínimamente idea de lo que puede ser a que me lo haga saber que hago las pruebas pertinentes para lograr dispararlo sea como sea, puedo realizar capturas de tráfico internas, registro de errores, todo. Adoro saber el por qué de las cosas, no solo ya como usuario y potencial perjudicado también.

El problema para Movistar/Fabricante es el mismo, lo primero es poder disparar el problema en un entorno donde puedas controlarlo, y hasta que eso no sea posible, solucionarlo es casi imposible, porque los datos dicen a fin de cuenta que al 99% les funciona bien y no tienen dichos problemas. Con lo que o es un problema de compatibilidad aislado, o es un problema de configuración  concreto, al margen de la firmware que se tenga. Eso no quiere decir que no pase con una y si pase con otra, las firmwares afectan igualmente a parámetros, ajustes internos y otros, que pueden igualmente disparar problemas de compatibilidad específicos u otros problemas.

Sería necesario exponer quienes tienen el problema, y esas personas en concreto ver como tienen configurado el Router, o si tal cual por defecto reseteados les sucede. Y cuando se confirme que a todos les pasa con el Router recien reseteado, ver si sucede lo mismo conectando un solo equipo a la red, con WIFI deshablitado.

Y si así también falla, intentar ver si le sucede lo mismo en casa de un vecino que tenga fibra con Movistar y el mismo Router, por si es la centralita y el fallo está en la interacción de la ONT con la OLT

[JesúsGonzálezMaestre]

Disculpa la mención @mrdv pero a ti se te arregló así sin más?

De todo el repertorio posible de problemas ¿cuáles tenías tú? Asumo que también se te solucionaba con la bajada de firmware.

[mrdv]

@JesúsGonzálezMaestre : con la última intervención de la operadora, o lo que sea que hayan hecho puesto que siguen diciendo absurdamente que era un problema de Google, a mi se me solucionó como por "arte de magia". Las versiones que tengo recopiladas son:

Mitrastar: b31, b38_2, b54 y b54_7
Askey: n43

Tengo dos viviendas en la misma población y ambas con el router Mitrastar GPT-2541 GNAC. En una de ellas, ante el absoluto colapso, tuve que pasarme a la versión b38_2 (la más estable de las que he probado) y en la otra siempre me ha funcionado correctamente la oficial de TESA, en este caso la b54_7 que es la última disponible. Creo que puedo llegar a la conclusión de que, con el mismo router y la misma versión, el problema no es de Google sino de la central en la que estemos pinchados. Para dejarlo claro todo del todo, en estos momentos en ambos domicilios tengo la b54_7 (oficial) operativa y ya no uso la b38_2.

Otra consideración a tener en cuenta es que las sub-versiones (todas las que llevan guión bajo como la b54_7) no deberían estar en producción pero en la práctica todos podemos constatar que no se respeta este protocolo básico.

EL firmware Askey lo mantengo porque algún conocido así me lo ha pedido pero yo no tengo ese modelo de router por lo que no lo he probado.

@Theliel : para ayudar a los compañeros que están sufriendo yo me limitaría a decir las vulnerabilidades conocidas de la versión b38_2 para que cada cual la evalúe asumiendo los riesgos que conlleva si es que conlleva alguno que es la que nos ha salvado a más de uno de estar desconectados, mi propio caso por ejemplo. Y si lo consideras oportuno puedes abrir otro hilo donde podamos teorizar e incluso solucionar problemas de orden general. Este hilo pretende ayudar de forma pragmática o así lo entendí yo al abrirlo.

[JesúsGonzálezMaestre]

Pues yo me he tirado meses sin que me solucionaran nada hasta que di con la versión del firm que decimos. El problema es que ahora soy absolutamente incapaz de mantener esa versión sin que me actualicen, no sé si habrán tocado algo o qué. Espero tener suerte como tú y que me lo solucionen por " arte de magia" 😅

[mrdv]

@JesúsGonzálezMaestre : basta con que instales el firmware con el router desconectado y que inhabilites el cliente TR-069 antes de volver a reconectarlo. De esta manera la auto-actualización (lo que se conoce como ACS - Auto-Configuration Server) dejará de funcionar. El firmware b38_2 permite esta maniobra muy al contrario de otras versiones que la tienen capada por defecto. Por eso conviene mantener una copia de esta versión por si algo nos vuelve a fallar algún día 😉

[JesúsGonzálezMaestre]

Sí, si como digo ya lo he hecho en varias ocasiones desde que descubrí que me funcionaba con la versión 38_2. El caso es que lo he intentado esta semana porque volvió a desconfigurarse y aunque bloquee la telecarga de Movistar se me acaba actualizando.

[mrdv]

Vale pues entonces comprueba en:

Advanced Setup > Rules

que tengas deshabilitados:

* Default_7547

* Default_TR069

Si se te sigue actualizando por su cuenta es que tienes duendes "-D

[JesúsGonzálezMaestre]

Sí, también lo hago. Serán duendes o algo que hayan cambiado porque ya te digo que ya lo he hecho unas cuantas de veces.

[mrdv]

Buuuf pues ahí si que me pillas, algo se me escapa porque les estás cerrando todas las puertas y la forma de comprobarlo es intentar acceder a tu router vía Alejandra.

[Técnico-Movistar]

Buenas tardes @mrdv,

Te pedimos disculpas por la demora y las molestias ocasionadas.

Aunque en este caso no te hayamos podido ayudar con tu consulta, nos alegra que te haya quedado resuelto.

Por nuestra parte, procedemos al cierre de este hilo, para cualquier otra duda o consulta en el futuro ya sabes donde encontrarnos.

Un saludo,

Natalia.