125 nuwe foute gevind in routers en NAS-toestelle van gewilde handelsmerke

125 nuwe foute gevind in routers en NAS-toestelle van gewilde handelsmerke

Die wêreld van verbonde verbruikerselektronika, die Internet of Things en slimtoestelle groei vinniger as ooit danksy tienduisende miljarde gekoppelde toestelle wat data draadloos oor die internet stroom en deel, maar hoe veilig is dit?

Deur alles van ‘n koffiemaker tot voordeurdeure en motors tot die internet te kombineer, skep ons meer potensi√ęle – en miskien gevaarliker – maniere om hackers te verwoes.

Glo my, daar is meer as 100 maniere waarop ‘n hacker jou lewe kan vernietig deur bloot jou draadlose router bloot te stel – ‘n toestel wat die verkeer tussen jou plaaslike netwerk en die internet beheer, wat die veiligheid en privaatheid van baie draadlose toestelle van rekenaars en telefone vir IP-kameras, slim TV’s bedreig. en gekoppelde toestelle.

In hul jongste studie, ‘SOHOpelessly Broken 2.0’, het onafhanklike veiligheidskundiges (ISE’s) ‘n totaal van 125 verskillende kwesbaarhede ontdek in 13 klein kantoor- / tuiskantoorroetes (SOHO) en netwerkapparatuur (NAS), wat waarskynlik miljoene mense be√Įnvloed.

‘Ons wys vandag dat sekuriteitskontroles wat deur vervaardigers van toestelle toegepas word, onvoldoende is teen aanvalle deur afgele√ę teenstanders. Hierdie navorsingsprojek het ten doel gehad om nuwe tegnieke te ontdek en te gebruik om hierdie nuwe sekuriteitskontroles in ingeboude toestelle te omseil, ‚ÄĚs√™ navorsers.

Lys van routerverskaffers wat geraak word

SOHO-routers en NAS-toestelle wat deur wetenskaplikes getoets is, kom van die volgende vervaardigers:

  • Buffalo
  • Synology
  • TerraMaster
  • ZyXEL
  • Drobo
  • ASUS en sy filiaal Asustor
  • Seagate
  • QNAP
  • Lenovo
  • Netgear
  • Xiaomi
  • Zioncom (TOTOLINK)

Volgens veiligheidsnavorsers het al die 13 wyd gebruikte toestelle wat hulle getoets het, ten minste een kwesbaarheid in die webtoepassing gehad, wat ‘n afgele√ę aanvaller in staat stel om afstandtoegang tot die dop te verkry of om toegang tot die bestuurspaneel van die betrokke toestel te kry.wifi router sagteware

Hierdie kwesbaarhede sluit in, maar is nie beperk nie tot, kruis-site script (XSS) scripts, cross-site request spoofing (CSRF), buffer overflow, besturingsstelsel opdraginspuiting (OS CMDi), verifikasieomleiding, SQL-inspuiting (SQLi) en kwesbaarheid vir lêeroordragpaaie .

Volle beheer oor toestelle sonder verifikasie

Navorsers het gevind dat hulle wortelskulp op 12 toestelle suksesvol bekom het, waardeur hulle volle beheer oor die geaffekteerde toestelle gehad het, waarvan 6 foute gehad het wat die aanvallers in staat sou stel om die afstand op afstand en sonder verifikasie volledig te beheer.

Dit geld vir sake- en tuisroeteerders soos Asustor AS-602T, Buffalo TeraStation TS5600D1206, TerraMaster F2-420, Drobo 5N2, Netgear Nighthawk R9000 en TOTOLINK A3002RU.

Hierdie nuwe verslag, SOHOpelessly Broken 2.0, is ‘n ander studie, SOHOpelessly Broken 1.0, gepubliseer deur die ISE-sekuriteitsfirma in 2013, toe ‘n totaal van 52 kwesbaarhede in 13 SOHO-routers en NAS-toestelle van verskaffers, insluitend TP-Link, ASUS en Linksys.

Sedert SOHOpelessly Broken 1.0, het navorsers bevind dat hulle verskeie nuwer IoT-toestelle gevind het wat ‘n paar bruikbare sekuriteitsmeganismes implementeer, soos ASLR (Address Space Layout randomization), funksies wat omgekeerde ingenieurswese belemmer, en HTTP-versoek om integriteitsverifi√ęringsmeganismes.

Sommige dinge het egter nie verander sedert SOHOpelessly Broken 1.0 nie, net soos baie IoT-toestelle nog steeds nie basiese funksies vir die beskerming van internet-toepassings het nie, soos anti-CSRF-tekens en blaaierveiligheidsopskrifte, wat die veiligheid van internettoepassings en stelsels waarmee hulle aansienlik kan verbeter saam te werk

ISE-navorsers het al die ontdekte kwesbaarhede wat deur toestellevervaardigers geraak is, op ‘n verantwoordelike manier aangemeld, waarvan die meeste onmiddellik gereageer het en reeds veiligheidsmaatre√ęls getref het om die kwesbaarhede wat reeds CVE-identifikasies ontvang het, aan te spreek.

Sommige vervaardigers van toestelle, waaronder Drobo, Buffalo Americas en Zioncom Holdings, het egter nie op navorsers se bevindings gereageer nie.