Fabrikant dreigt media wegens berichten over router-lekken
De Zuid-Koreaanse netwerkfabrikant Zioncom heeft media met juridische stappen gedreigd als ze schrijven over beveiligingslekken in de Totolink-routers van het bedrijf. Beveiligingsonderzoeker Pierre Kim had een groot aantal kwetsbaarheden in de Totolink-routers gevonden waardoor aanvallers op afstand de apparaten volledig kunnen overnemen.
Totolink-routers hebben in Zuid-Korea op de markt voor consumenten en MKB een marktaandeel van 80%. Daarnaast worden de apparaten wereldwijd verkocht. Kim besloot de fabrikant over zijn bevindingen niet in te lichten en publiceerde zijn onderzoek vorige maand op verschillende mailinglists en zijn eigen weblog. In een reactie zegt Zioncom dat berichtgeving over de kwetsbaarheden onverantwoord is en het om ongeverifieerde informatie gaat, waardoor de reputatie van het bedrijf in het geding is.
De netwerkfabrikant stelt vervolgens dat het de privacy en veiligheid van gebruikers niet in gevaar brengt en juridische stappen kan nemen tegen media die verkeerde informatie verspreiden en de reputatie van het bedrijf en de producten schaden. Wat betreft het standaardwachtwoord op de apparaten, één van de problemen die Kim ontdekte, krijgen gebruikers het advies die te wijzigen. Ook is er nieuwe firmware verschenen om de problemen te verhelpen. Kim analyseerde de firmware en stelt dat de backdoor die hij ontdekte nog steeds aanwezig is, alleen niet meer tijdens het opstarten wordt geladen. Daarnaast zou het probleem bij sommige modellen niet zijn verholpen.
Men twijfelt alleen nog wat het moet worden.
"Zo lek als een mag-ik-niet-publiceren?"
Of: "zo lek als 13 stukken software in een dozijn?"...
Goeroehoedjes
Responsible disclosure houdt in dat je de fabrikant eerst op de hoogte stelt en een redelijke termijn gunt om met een oplossing te komen. Als de fabrikant medewerking weigert kun je altijd nog in de openbaarheid treden.
Men twijfelt alleen nog wat het moet worden.
"Zo lek als een mag-ik-niet-publiceren?"
Of: "zo lek als 13 stukken software in een dozijn?"...
Goeroehoedjes
Of "Zo lek als een Totolink-router"
Dan krijg je pas gratis reclame als leverancier. :-)
Men twijfelt alleen nog wat het moet worden.
"Zo lek als een mag-ik-niet-publiceren?"
Of: "zo lek als 13 stukken software in een dozijn?"...
Goeroehoedjes
Of "Zo lek als een Totolink-router"
Dan krijg je pas gratis reclame als leverancier. :-)
Zal hij niet zo positief vinden. Ben benieuwd wanneer de dagvaarding op de mat ligt bij je ;)
Het is niet voor niets dat de voorganger "Zo lek als een mag-ik-niet-publiceren" zei :D
Men twijfelt alleen nog wat het moet worden.
"Zo lek als een mag-ik-niet-publiceren?"
Of: "zo lek als 13 stukken software in een dozijn?"...
Goeroehoedjes
Of "Zo lek als een Totolink-router"
Dan krijg je pas gratis reclame als leverancier. :-)
Zal hij niet zo positief vinden. Ben benieuwd wanneer de dagvaarding op de mat ligt bij je ;)
Het is niet voor niets dat de voorganger "Zo lek als een mag-ik-niet-publiceren" zei :D
Dat zal zo'n vaart niet lopen.
We hebben in Nederland nog zo iets vaags als vrijheid van meningsuiting.
Maar misschien dat die fabrikant daar nog niet zo bekend mee is.
Als er al een patch is geweest die vooral doet alsóf die het probleem pakt, denk ik dat de redelijke termijn is verstreken. Kijk maar naar de rest van de achterbakse houding en de stand van zaken is wel erg duidelijk... anders had de hosting nooit dúrven spreken van verkeerde informatie versprijden, dat laat nog het meest duidelijk zien wie de plank falikant misslaat.
De juridische dreiging kwam pas nadat Kim de publiciteit had opgezocht, niet daarvoor. Het is een voorbarige actie van Kim (waarbij het er wel naar uitziet dat Totolink wat uit te leggen heeft, maar dat is een ander verhaal).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
