Es scheint an der Zeit zu sein, den Digest umzubenennen. In der vergangenen Woche wurden drei Studien gleichzeitig über neue Lücken in drei verschiedenen Routern veröffentlicht, eine weitere über die Sicherheitslücke in Smart-TVs von Sony und eine weitere über die Sicherheit von Routern im Allgemeinen auf
intergalaktischer globaler Ebene. Zum Glück gibt es viel zu besprechen. Leider ist die Sicherheit von Geräten der Klasse "Dinge aus dem Internet" wirklich recht gering. Leider sind nicht alle IoT-Sicherheitsstudien gleichermaßen nützlich. Versuchen wir herauszufinden, wer hier ist.
Wir beginnen mit einer Studie über Mikrotik-Router (
Nachrichten , Originalveröffentlichung). Einerseits ist die Forschung von Tenable Security wertvoll: Es wurde ein zuverlässiger Weg gefunden, um Superuser-Rechte zu erlangen, indem ein Pufferüberlauffehler verursacht wird. Obwohl diese Methode remote ausgeführt wird, muss der Angreifer bereits autorisiert sein. Die Autorisierung kann durch Ausnutzen der zuvor im April entdeckten Sicherheitsanfälligkeit erfolgen.
Im Allgemeinen stellte sich eine solche optionale Kirsche auf dem Kuchen heraus. Mit dem April-Fehler CVE-2018-14847 können Sie jede Datei auf dem Router aus der Ferne lesen und über diesen darauf zugreifen (mehr dazu, genauer zu den Konsequenzen, im
Digest vom 10. September). Die von Tenable gefundene Sicherheitsanfälligkeit ist nur ein zuverlässiger Weg, um Berechtigungen zu erweitern. Zusätzlich zu RCE wurden einige weitere Fehler gefunden, die einen Denial-of-Service verursachten, aber dies ist nicht so interessant. Wenn Sie die Möglichkeit zur Verwaltung des Routers über das Internet ein- und ausschalten, sind all diese Probleme wie gewohnt keine Probleme mehr. Ein Upgrade ist jedoch noch besser: In den August-Updates der Mikrotik RouterOS-Firmware wurden diese neu entdeckten Fehler geschlossen.
Was ist mit D-Link? Wie sich herausstellt, verfügt D-Link über ein Dienstprogramm zur Remoteverwaltung von Routern, beispielsweise die WinBox von Mikrotik,
WiFiManager . Daher löst diese Anwendung beim Start einen FTP-Server mit einigen Benutzernamen aus - Administrator- / Administratorkennwort, und anscheinend kann der Serveradministrator diese „Funktion“ in keiner Weise konfigurieren oder deaktivieren. Der Beispielcode im obigen Screenshot verwendet diesen FTP-Server, um die .php-Datei herunterzuladen, die dann vom Server angefordert wird. Bei der Anforderung dieser Datei haben Core Security-Forscher (weitere Details hier:
Nachrichten und
Forschung ) die Remote-Ausführung von beliebigem Code durchgeführt. Weitere Informationen zu einer ähnlichen Sicherheitsanfälligkeit mit etwas weniger trivialer Ausnutzung finden Sie unter den obigen Links. D-Link hat eine Beta-Version von WiFiManager veröffentlicht, in der die Lücken geschlossen sind, und
empfiehlt eine Aktualisierung, da die Software sowohl den Server als auch die verwalteten Router oder Zugriffspunkte und möglicherweise das gesamte Unternehmensnetzwerk gefährdet.
Was ist mit TP-Link? Im TP-Link-Router TL-WR841N (dies ist ein kostengünstiges und erschwingliches weltweites Modell ab 1000 Rubel im Einzelhandel) stöberten Experten von Tenable Security, genau wie in der Geschichte über MikroTik. Sie fanden (
Nachrichten ,
Forschung ) ein traditionelles Paar von Denial-of-Service-Schwachstellen, aber die interessanteste war die XSRF-Schwachstelle. Im Sommer dieses Jahres wurde
ein schwerwiegendes Loch
entdeckt , durch das die Autorisierung in der Weboberfläche des Routers umgangen werden konnte. Dann schien alles nicht so schlecht, da der Router die Weboberfläche nur vom lokalen Netzwerk oder von außen, von tplinklogin.net- oder tplinkwifi.net-Domänen zulässt. So konnten Tenable-Forscher einen Angriff wie "Cross-Site Request Forgery" starten, da der Router während der Validierung nur die ersten Zeichen der Quelldomäne validiert. Das heißt, die Anfrage wird nicht nur von tplinklogin.net, sondern auch von
tplinklogin.net akzeptiert . Ein interessanter Punkt: Obwohl TP-Link auf Anfragen von Tenable-Experten reagiert hat, sind die Sicherheitslücken immer noch nicht geschlossen, einschließlich des Problems der Umgehung der im Sommer veröffentlichten Autorisierung der Webschnittstelle.
UPD vom 15.10.2008 : Tatsächlich geht es ihnen schon gut. TP-Link hat uns kontaktiert und
Sie sagten, dass sie eine neue Version der Software veröffentlicht hätten, die alles reparierte.
Details hier .
Die amerikanische gemeinnützige Organisation The American Consumer, die Verbraucherrechte schützen will, hat beschlossen, die Verwundbarkeit von Routern zu bewerten (
Nachrichten ,
Forschung ), ohne an bestimmte Modelle gebunden zu sein. Zu diesem Zweck verwendeten wir eine Software,
die kompilierten frei verteilten Code
analysiert . Dementsprechend wurde es möglich, die Firmware von Routern auf das Vorhandensein zuvor bekannter Schwachstellen zu analysieren. Es wurden 186 Router-Modelle von 14 Herstellern untersucht. Von diesen hatten 155 Router oder 83% schwerwiegende Sicherheitslücken, die möglicherweise von Angreifern ausgenutzt werden könnten.
Solche Studien ähneln dem Versuch, die Durchschnittstemperatur in einem Krankenhaus zu berechnen. Die Information, dass „der durchschnittliche Router 172 Schwachstellen enthält, von denen 12 kritisch sind“, sagt absolut nichts über die Anwendbarkeit bestehender Lücken in der Praxis aus. Fazit: „Unsere Verbraucher, unsere Infrastruktur und unsere Wirtschaft sind gefährdet.“ Sozusagen ja. Für diese Schlussfolgerung war es nicht erforderlich, Schwachstellen nach Kopf zu betrachten.
Was ist mit Sony-Fernsehern? Fortinet hat (
Nachrichten ) auf Sony Bravia Smart-TVs drei Schwachstellen entdeckt. Es gibt zwei herkömmliche Fehler: falsche Verarbeitung von HTTP-Anforderungen, Lesen des Dateisystems über einen Browser. Und noch eines: Der Fernseher verarbeitet die Dateinamen der hochgeladenen Fotos ungenau. Infolgedessen können Fotos so benannt werden, dass sie die Stammrechte öffnen. Die Sicherheitsanfälligkeit wird remote ausgenutzt, jedoch nur, wenn der Angreifer auch das Wi-Fi-Netzwerk knacken kann, mit dem auch das Fernsehgerät verbunden ist. Sony hat bereits Patches für eine Reihe von Smart-TV-Modellen veröffentlicht, die theoretisch automatisch an die Verbraucher ausgeliefert werden sollten.
Haftungsausschluss: Die in dieser Übersicht geäußerten Meinungen stimmen möglicherweise nicht immer mit der offiziellen Position von Kaspersky Lab überein. Sehr geehrte Redakteure empfehlen generell, Meinungen mit gesunder Skepsis zu behandeln.