Google-ontwikkelaar onthult lek in TP-Link SR20-router
Een ontwikkelaar van Google heeft een ongepatcht beveiligingslek in de SR20 "smart home" router van fabrikant TP-Link onthuld omdat de fabrikant niet binnen 90 dagen met een patch kwam. Matthew Garrett is security-developer bij Google, maar heeft details over de kwetsbaarheid op eigen titel gepubliceerd.
De SR20 is een Zigbee/Z-Wave hub en router, met een touchscreen voor configuratie en bediening. De router moet de rol van Internet of Things-hub vervullen, waarbij het allerlei smart home-oplossingen verbindt. Garrett gebruikte Ghidra, de gratis reverse engineering tool van de NSA, om het TP-Link device debugprotocol te analyseren. Dit debugprotocol draait op de meeste TP-Link-apparaten.
Versie 2 van het protocol werkt alleen met het beheerderswachtwoord van de router. Versie 1 van het protocol vereist echter geen authenticatie. In het geval van de SR20 blijken bepaalde commando's van versie 1 nog steeds toegankelijk te zijn. Een aanvaller op het lokale netwerk kan hier gebruik van maken om op de router code met rootrechten uit te voeren.
Garrett waarschuwde TP-Link in december via een speciaal webformulier. Na de bugmelding te hebben verzonden verscheen er een melding dat er binnen drie werkdagen contact op zou worden genomen. Enkele weken later had de Google-ontwikkelaar nog steeds geen reactie gekregen, waarop hij een tweet naar TP-Link verstuurde, maar ook deze vraag bleef onbeantwoord. Daarop heeft Garrett nu de details van de kwetsbaarheid openbaar gemaakt. De ontwikkelaar adviseert TP-Link om het "security feedback" formulier te lezen en geen debugprotocollen in productiefirmware te draaien.
Want TP-link was toch in het verleden altijd behoorlijk responsief bij gemelde bugs en vaak de eerste die een patch klaar had, dus ik vraag me toch een beetje af of het juiste kanaal wel door Garrett werd aangesproken.
Liever andere bedrijven aanvallen.
Hey Anoniem, Je weet dat dit het probleem ook meestal bij de telefoon leveranciers ligt. En dus niet bij Google?
Hey Anoniem, Je weet dat dit het probleem ook meestal bij de telefoon leveranciers ligt. En dus niet bij Google?
Je moet het natuurlijk even uitgelegd hebben, snap ik.
Google geeft Android in licentie aan telefoonfabrikanten om daarmee data te verzamelen. Google stelt geen eisen aan die fabrikanten m.b.t. het patchen van een brak OS wat ze natuurlijk makkelijk kunnen doen omdat ze anders geen licentie verstrekken aan die telefoonboer. Dat doen ze niet omdat ze schijt hebben aan lekke producten zolang die producten maar zoveel mogelijk data voor Google verzamelen. Net zo goed als rommel in de PleeStore waar ze nauwelijks controle op uit oefenen.
Wat ze wel doen is keer op keer anderen in ee kwaad daglicht stellen als ze niet snel genoeg reageren, heb je al eens een bericht van Goole gelezen waarin ze zeggen dat er meer dan een miljard lekke Android devices rondzwerven?
En dan heb ik het nog niet eens gehad over de mogelijke risico's met betrekking tot de ingebouwde spyware die je soms weleens op routers tegenkomt. Vraag maar aan Cisco.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
