Routers met MIPS-processor afgeraden wegens security
Wie een router zoekt moet controleren dat die geen MIPS-processor bevat. Meerdere populaire routers met een dergelijke processor zijn door een bug in een bepaalde Linuxkernel minder veilig en zouden daarom moeten worden vermeden. Daarnaast blijkt ook de beveiliging bij andere modellen tekort te schieten.
Dat stellen onderzoekers van Cyber-ITL op basis van eigen onderzoek naar 28 routers van Asus, D-Link, Linksys, Netgear, Synology, TP-Link en Trendnet. Het gaat om routers die op ARM- en MIPS-processoren zijn gebaseerd. Om misbruik van kwetsbaarheden lastiger te maken kunnen ontwikkelaars verschillende maatregelen nemen, zoals address space layout randomization (ASLR), data execution prevention (DEP) en relocation read-only (RELRO).
De routerfabrikanten blijken deze maatregelen nauwelijks in hun op Linux-gebaseerde router-firmware toe te passen, ook al ondersteunt Linux deze beveiligingsmaatregelen al zeer lang. Met name bij de routers die over een MIPS-processor beschikken gaat het mis. De MIPS-Linuxkernels van 2001 tot 2016 bevatten namelijk een bug waardoor stack based execution voor userland-processen wordt ingeschakeld.
In 2016 verscheen een patch voor de MIPS-Linuxkernel om non-executable stacks in Linux MIPS mogelijk te maken. De patch geeft aanvallers echter de mogelijkheid om zowel ALSR als DEP te omzeilen. Het probleem is nog steeds in de MIPS-Linuxkernel aanwezig. De onderzoekers merken op dat de impact hiervan op het moment nog niet groot is, aangezien de routerfabrikanten nauwelijks nog van ALSR en DEP gebruikmaken.
Gebruikers die een router zoeken krijgen wel het advies om apparaten met een MIPS-processor te vermijden, aangezien de problemen met deze architectuur nog wel enige tijd zullen aanhouden. "Gegeven de keuze tussen een Linux-gebaseerde router die op een ARM- of MIPS-processor draait, denken we dat een gebruiker statistisch meer bescherming geniet door een ARM-gebaseerd Linuxsysteem te kiezen." Aanvullend merken de onderzoekers op dat de veiligheid van routers ook tussen modellen van dezelfde fabrikant flink kan verschillen.
Wat een logica weer. Lijkt deze keer een faliekante faal van de Redactie te zijn en niet van deze veren-in-eigen-reedt-tent met security-aspiraties.
Dat ze wat al te buzzworderig zijn is wel duidelijk. Zo staan ze op ASLR maar die HTK-NATroutertjes hebben over het algemeen veel te weinig geheugen of zelfs adresruimte om dat goed z'n werk te laten doen, en is dus op zichzelf al overkoombaar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
