Ernstige lekken in 13 WiFi-routers ontdekt
Verschillende populaire WiFi-routers bevatten lekken waardoor zowel lokale aanvallers als aanvallers via het internet toegang tot de apparaten kunnen krijgen en in staat zijn om verkeer te onderscheppen. Het gaat om modellen van fabrikanten Linksys, Belkin, Netgear, TP-Link, D-Link en Verizon en vijf niet nader genoemde modellen of fabrikanten.
Het onderzoek werd door Independent Security Evaluators (ISE) uitgevoerd. Alle 13 onderzochte routers zijn via het lokale netwerk te kapen en in vier gevallen is er geen actieve managementsessie vereist. 11 van de 13 routers zijn via het internet over te nemen, waarvan er in twee gevallen geen authenticatie nodig is.
Verder bleek dat tenminste de helft van de routers die network attached storage (NAS) aanbieden op afstand zijn aan te vallen. De volledige details zal ISE in de toekomst bekendmaken. Volgens de onderzoekers zijn WiFi-routers ondanks hun populariteit nauwelijks door beveiligingsonderzoekers onderzocht.
"De ernstige kwetsbaarheden die in deze apparaten beschikbaar is, demonstreren de noodzaak voor verder onderzoek." De nu ontdekte lekken zouden door een aanvaller met 'gemiddelde vaardigheden' zijn te misbruiken.
Firmware
De onderzoekers verdeelden de aanvallen in drie categorieën. De eerste categorie zijn aanvallen die direct tegen de router kunnen worden uitgevoerd en waarbij geen interactie van een gebruiker of toegang tot de inloggegevens is vereist. Als tweede zijn er de ongeauthenticeerde aanvallen.
Hierbij is een vorm van menselijke interactie vereist, zoals het openen van een kwaadaardige link of het surfen naar een onveilige pagina. In dit geval is er geen actieve sessie of toegang tot inloggegevens vereist.
De laatste categorie zijn aanvallen waarbij de aanvaller toegang tot inloggegevens heeft, bijvoorbeeld de standaard inloggegevens of dat het slachtoffer ten tijde van de aanval is ingelogd. Aan de hand van het onderzoek zijn er 17 problemen ontdekte waar 21 aparte CVE-nummers zijn toegekend. De leveranciers in kwestie zouden nog geen firmware hebben uitgebracht om de problemen op te lossen.
Dus: WPS-uit, PNP-uit, geen beheer op afstand, geen verborgen accounts, enz...
Natuurlijk verkoopt dat niet.
Leveranciers leveren liever functionaliteit in plaats van veiligheid.
Eerst zeg je dat het niet goed is in te stellen, daarna zeg je dat de leveranciers juist liever focussen dat gebruikers makkelijk dingen kunnen instellen?
The victim must have an active management session with the WRT310v2 router.
The victim must be fooled in to performing an action (e.g., by clicking an attacker provided link), browse to a malicious or compromised site, or be the victim of a man-in-the-middle attack."
The victim must have an active management session with the WRT310v2 router.
The victim must be fooled in to performing an action (e.g., by clicking an attacker provided link), browse to a malicious or compromised site, or be the victim of a man-in-the-middle attack."
- Wetgeving die eist dat devices veilig zijn, maakt devices niet veiliger. Enkel dat het door bepaalde (mogelijk slecht uitgevoerde, mogelijk niet uitgevoerde) checks komt. Dat zal geen representatie zijn van de werkelijkheid.
- Je wil geen push updates forceren vanuit leveranciers. 1 lek in dat systeem....
Ik denk dat onze politiek, zich met belangrijkere dingen bezig kan houden. Dan met technieken, die ze niet (en nooit zullen) begrijpen.
De kijk van gebruikers naar apparatuur, is anders. Het is 'gewoon een apparaat'.
Vergeet niet dat het internet (IPv4) is ontwikkeld als "experimenteel netwerk", en nooit een andere status heeft gekregen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
