Linksys patcht lekken in routers met smart wifi-firmware
Linksys heeft updates uitgebracht voor verschillende EA-routers die de smart wifi-firmware draaien. Via kwetsbaarheden in de firmware kan een aanvaller op afstand en zonder inloggegevens gevoelige informatie op de router uitlezen of aanpassen. Daarnaast is er ook een lek verholpen waardoor een aanvaller die zich op het lokale netwerk bevindt zonder inloggegevens het htpassword-bestand van de router kan lezen.
Dit bestand bevat de MD5-hash van het beheerderswachtwoord. Op deze manier zou de aanvaller toegang tot de router kunnen krijgen. Het CERT Coordination Center (CERT-CC) van de Carnegie Mellon Universiteit waarschuwt verder dat de routers standaard verschillende poorten aan de WAN-kant blootstellen. Zo zorgen poort 10080 en 52000 dat de beheerdersinterface voor WAN-gebruikers toegankelijk is.
Afhankelijk van het model zijn mogelijk ook andere poorten vanaf het internet bereikbaar. Linksys heeft voor verschillende modellen (EA4200v2, EA4500, EA6200, EA6300, EA6400, EA6500, EA6700 en EA6900) updates uitgebracht. Updates voor de EA2700 en EA3500 zijn nog niet verschenen.
Dat lek heb ik op 24 oktober vorig jaar via responsible disclosure aan Linksys gemeld. Goed om te horen dat ze het eindelijk gepatcht hebben. Heb een artikel geschreven op mijn weblog voor de mensen die meer willen weten over dit lek en hoe Linksys dit heeft opgepakt:
http://sijmen.ruwhof.net/weblog/268-password-hash-disclosure-in-linksys-smart-wifi-routers
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?