建站
咨詢
售后
建站咨詢
新聞中心
9款WiFi路由器226個(gè)漏洞影響數(shù)百萬(wàn)設(shè)備。
在東山等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強(qiáng)發(fā)展的系統(tǒng)性、市場(chǎng)前瞻性、產(chǎn)品創(chuàng)新能力，以專注、極致的服務(wù)理念，為客戶提供網(wǎng)站設(shè)計(jì)制作、網(wǎng)站設(shè)計(jì) 網(wǎng)站設(shè)計(jì)制作按需求定制開發(fā),公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),成都品牌網(wǎng)站建設(shè),營(yíng)銷型網(wǎng)站,外貿(mào)營(yíng)銷網(wǎng)站建設(shè),東山網(wǎng)站建設(shè)費(fèi)用合理。
漏洞概述
IoT Inspector和CHIP的安全研究人員合作對(duì)Asus、AVM、D-Link、Netgear、Edimax、TP-Link、Synology和Linksys等生產(chǎn)的9款主流的WiFi路由器進(jìn)行了安全性分析，在其中發(fā)現(xiàn)了226個(gè)安全漏洞。
其中TP-Link Archer AX6000路由器的安全漏洞最多，有32個(gè)，其次是Synology RT-2600ac路由器，其中有30個(gè)安全漏洞。
影響TP-Link Archer AX6000的高危漏洞
IoT Inspector稱CHIP在路由器安全評(píng)估中，廠商提供的都是升級(jí)到當(dāng)前模型的最新固件版本。固件版本由IoT Inspector主動(dòng)分析，共檢查出了超過(guò)5000個(gè)CVE漏洞和其他安全問(wèn)題。
研究表明，許多路由器中仍然存在已經(jīng)公開的漏洞，包括那些使用最新固件的路由器。
路由器型號(hào)和安全漏洞(按漏洞嚴(yán)重性分類)
這些漏洞的風(fēng)險(xiǎn)是不同的，研究人員在其中發(fā)現(xiàn)了影響這些被測(cè)型號(hào)的通用問(wèn)題：
固件中使用過(guò)期的Linux kernel;
過(guò)期的多媒體和VPN功能;
過(guò)渡依賴?yán)习姹镜腂usyBox;
使用的默認(rèn)口令是弱口令，比如admin;
以明文形式硬編碼憑證。
IoT Inspector CEO Jan Wendenburg稱確保路由器安全的最重要的方式之一就是第一次配置設(shè)備時(shí)就修改默認(rèn)口令。因?yàn)樾薷哪J(rèn)口令和啟用自動(dòng)更新功能是所有物聯(lián)網(wǎng)設(shè)備的標(biāo)準(zhǔn)實(shí)踐。
提取密鑰
研究人員并未公開相關(guān)漏洞的技術(shù)細(xì)節(jié)，但介紹了D-Link路由器固件鏡像的加密密鑰提取問(wèn)題。研究人員發(fā)現(xiàn)可以在D-Link DIR-X1560路由器上獲取本地權(quán)限，并通過(guò)物理UART debug接口獲取shell訪問(wèn)權(quán)限。
然后使用內(nèi)置的BusyBox命令復(fù)制整個(gè)文件系統(tǒng)，然后定位負(fù)責(zé)解密的二進(jìn)制文件。通過(guò)分析對(duì)應(yīng)的變量和函數(shù)，研究人員最終成功提取了用于固件加密的AES 密鑰。
提取AES密鑰
使用提取的AES密鑰，攻擊者可以發(fā)送惡意固件鏡像更新來(lái)繞過(guò)設(shè)備上的驗(yàn)證檢查，最終在路由器上植入惡意軟件。
這類問(wèn)題可以通過(guò)全盤加密的方式解決，但這種實(shí)踐方式并不常見。
廠商回應(yīng)
所有受影響的廠商都對(duì)研究人員的發(fā)現(xiàn)進(jìn)行了回應(yīng)，并發(fā)布了固件補(bǔ)丁。CHIP研究人員稱路由器廠商解決了大多數(shù)的安全漏洞，但并沒(méi)有完全修復(fù)。未修復(fù)的安全漏洞大多數(shù)安全危險(xiǎn)比較低的漏洞，但研究人員并沒(méi)有進(jìn)行對(duì)漏洞修復(fù)的結(jié)果進(jìn)行后續(xù)測(cè)試。
此外，研究人員還建議用戶禁用遠(yuǎn)程訪問(wèn)、UPnP、WPS等功能。
完整報(bào)告參見:https://www.iot-inspector.com/wp-content/uploads/2021/11/Chip-IoT-Inspector-Router-Sicherheit-Test.pdf
本文翻譯自：https://www.bleepingcomputer.com/news/security/nine-wifi-routers-used-by-millions-were-vulnerable-to-226-flaws/如若轉(zhuǎn)載，請(qǐng)注明原文地址。
標(biāo)題名稱：九款WiFi路由器226個(gè)漏洞影響數(shù)百萬(wàn)設(shè)備
瀏覽路徑：http://www.5511xx.com/article/cojihjc.html
