Lek in KPN-modems maakte aanpassen DNS mogelijk
Een kwetsbaarheid in de ExperiaBox V8-modems van KPN die bij nieuwe glasvezelverbindingen worden geleverd waren kwetsbaar voor een aanval waarbij het mogelijk was om verschillende instellingen te wijzigen als gebruikers het standaardwachtwoord niet hadden gewijzigd en een website met kwaadaardige code bezochten. Het lek werd vorig jaar juli door een onderzoeker van Intelworks ontdekt, zo is nu bekend geworden.
Het ging om een zogenaamde CSRF-kwetsbaarheid, waarbij de webgebaseerde configuratiemodule van de ExperiaBox V8-modem niet controleerde of een bepaalde handeling, zoals het wijzigen van de configuratie van de modem, door de gebruiker of een andere partij werd uitgevoerd. In het geval het standaardwachtwoord niet was gewijzigd en er een website met de CSRF-code van een aanvaller werd bezocht, kon die vervolgens DNS-instellingen, wifi-instellingen en andere instellingen wijzigen, zonder dat gebruikers dit direct door zouden hebben.
Door het aanpassen van de DNS-instellingen zou het mogelijk zijn geweest om het verkeer van de aangevallen gebruiker via de server van de aanvaller te laten lopen. Ook had de aanvaller de wifi-beveiliging bijvoorbeeld kunnen uitschakelen. Op verzoek van KPN heeft de fabrikant van de ExperiaBox V8-modems, Arcadyan, de kwetsbaarheid via een firmware-update verholpen. Eind november was het niet meer mogelijk om de kwetsbaarheid te misbruiken.
Met de garantie dat die eigen router wel volledig veilig is? Ik ben het zeker niet oneens met de opzet, maar een brakke router achter een KPN modem, of een eigen modem/router combi die brak is levert mogelijk hetzelfde issue op.
Als je hem op je computer zelf specificeert, dan heb je toch geen last meer van veiligheidslekken in je router ?
Als je hem op je computer zelf specificeert, dan heb je toch geen last meer van veiligheidslekken in je router ?
Omdat niet iedereen de behoefte heeft om op elk device in huis handmatig de DNS servers te configureren, maar via DHCP. Natuurlijk is het zo dat veel thuis routers standaard hun eigen IP adres als DNS server meegeven bij het gebruik van DHCP, maar vervolgens wordt er 'geforward' naar de gespecificeerden Ik doe zelf beide, sommige devices handmatig, andere automatisch.
Met de garantie dat die eigen router wel volledig veilig is? Ik ben het zeker niet oneens met de opzet, maar een brakke router achter een KPN modem, of een eigen modem/router combi die brak is levert mogelijk hetzelfde issue op.
Theoretisch wel, maar het gaat in gevallen als deze om de massa en als jouw KPN router is aangepast, zullen ze niet snel verder kijken. Natuurlijk, als het alleen om jou te doen is dan wordt het een ander verhaal.
Eens. Mijn punt is dat de eerdere redenatie niet te letterlijk opgevat moet worden, dus 'als ik een eigen modem/router plaats en de DNS daarop aanpas, dan ben ik veilig wat betreft deze kwetsbaarheid'. Er staat mij bij dat er ook andere devices dan de Experia (een Zyxel of een D-Link, maakt verder niet zoveel uit) een soort gelijke kwetsbaarheid hadden. Goed de ogen en oren open blijven houden voor updates en mogelijke kwetsbaarheden op jouw apparaat blijft een vereiste.
Hoewel ik de term knuffelhacker walgelijk vindt :-), ja als zij dit device inderdaad hebben getest, hadden zij dit eigenlijk moeten vinden. Neemt niet weg dat de randvoorwaarde van de kwetsbaarheid wel heel erg is: "...gebruikers het standaardwachtwoord niet hadden gewijzigd". Of te wel indien je dat wel had gedaan, was je ook niets kwetsbaar.
Als je hem op je computer zelf specificeert, dan heb je toch geen last meer van veiligheidslekken in je router ?
Omdat niet iedereen de behoefte heeft om op elk device in huis handmatig de DNS servers te configureren, maar via DHCP. Natuurlijk is het zo dat veel thuis routers standaard hun eigen IP adres als DNS server meegeven bij het gebruik van DHCP, maar vervolgens wordt er 'geforward' naar de gespecificeerden Ik doe zelf beide, sommige devices handmatig, andere automatisch.
Dus dan liever een andere router kopen om de veiligheid te vergroten ?
Dan kun je dat net zo goed met de geleverde router doen toch?
Het gaat hier niet over mensen die al weten wat ze doen, maar over mensen die gewoon internet kopen en verwachten
dat ze dan klaar zijn. Die worden kennelijk door de monteur niet goed bediend (die zou ze erbij moeten vragen voor
een ander wachtwoord of ze een zelf ingesteld random wachtwoord moeten overhandigen).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
