Súlyos biztonsági hibát talált Accuvant Labs kutatója, Joshua Drake az ASUS egyes hálózati útválasztóiban. A tavaly ősszel publikált CVE-2014-9583 azonosítójú hiba kihasználásával a támadók tetszőleges műveleteket hajthatnak végre a routereken anélkül, hogy bármiféle adminisztrátori jelszót ismerniük kellene – írta a Biztonságportál.
A kutató a sebezhetőséget a Magyarországon is forgalmazott RT-N66U típusú Wi-Fi routerben találta meg, amelyen a 3.0.0.376.2524-g0013f52 verziójú firmware futott. Fennáll azonban a veszélye, hogy más firmware-verziókban is létezik ugyanez a hiba. David Longenecker, aki szintén sokat foglalkozik az ASUS eszközök biztonsági réseivel, már ki is mutatta a Drake-féle biztonsági rést az RT-AC87U (firmware: 3.0.0.4.378_3754) útválasztóban – a típust szintén forgalmazzák Magyarországon. Ebben az esetben annyi korlátozza a támadók mozgásterét, hogy az exploit maximum 237 karaktert tartalmazhat, ugyanis az ennél nagyobb "csomagok" hatására a router összeomlik.
A hiba az érintett routereken root jogosultsággal futó infosvr szolgáltatásban található, és a 9999-es UDP portra küldött, speciálisan szerkesztett csomagokkal lehet kihasználni – például különféle parancsok végrehajtására. (Ezt a portot az egyik ASUS eszköz használja arra, hogy a helyi hálózatban megtalálja a routert, és megkönnyítse annak konfigurálását.)
Az ASUS elismerte a sérülékenység létezését, és már dolgozik a hibajavításokon. A javítás megjelenéséig átmeneti megoldásokkal (az infosvr szolgáltatás leállításával) lehet csökkenteni a kockázatokat.
Frissítés:
Az Asus hazai képviseletétől időközben befutó információk szerint már letölthető a hibát orvosló firmware-frissítés. A teljes kínálathoz (a belépőszintű RT-N10-hez is) elérhető javítócsomagot (3.0.0.4.376.3754 verziószámú frissítés), a terméktámogatási oldalról való letöltés után, a router admin felületén keresztül lehet telepíteni.
Exkluzív szakmai nap a felhők fölött: KYOCERA Roadshow a MOL Toronyban
A jövő irodája már nem a jövő – hanem a jelen. A digitális transzformáció új korszakába lépünk, és ebben a KYOCERA nemcsak követi, hanem formálja is az irányt. Most itt a lehetőség, hogy első kézből ismerje meg a legújabb hardveres és szoftveres fejlesztéseket, amelyekkel a KYOCERA új szintre emeli a dokumentumkezelést és az üzleti hatékonyságot.
a melléklet támogatója a One Solutions
CIO KUTATÁS
AZ IRÁNYÍTÁS VISSZASZERZÉSE
Valóban egyre nagyobb lehet az IT és az IT-vezető súlya a vállalatokon belül? A nemzetközi mérések szerint igen, de mi a helyzet Magyarországon?
Segítsen megtalálni a választ! Töltse ki a Budapesti Corvinus Egyetem és a Bitport anonim kutatását, és kérje meg erre üzleti oldalon dolgozó vezetőtársait is!
Az eredményeket május 8-9-én ismertetjük a 16. CIO Hungary konferencián.
Nyílt forráskód: valóban ingyenes, de használatának szigorú szabályai vannak