Značka D-Link je i u nás poměrně rozšířená a její internetové Wi-Fi směrovače běží ve spoustě domácností i firem. Výrobce nyní oznámil několik bezpečnostních chyb ve třech modelech standardu Wi-Fi 6. Konkrétně jde o routery s typovým označením:
- Wi-Fi COVR-X1870,
- DIR-X4860
- DIR-X5460.
Pokud používáte některé z těchto uvedených zařízení, měli byste si rozhodně nainstalovat aktualizaci firmwaru, která byla zpřístupněna před několika dny.
Bez instalované aktualizace se totiž k Wi-Fi routerům mohou zneužitím různých triků přihlásit cizí osoby zvenčí. V případě jedné z bezpečnostních mezer to funguje například prostřednictvím služby Telnet, která se automaticky aktivuje na pozadí při použití portu WAN ve směrovači. Útočníci mají snadnou cestu, protože D-Link pro to nastavuje pevná hesla.
Cizí uživatelé mohou převzít kontrolu nad směrovači zvenčí
Zdroj: D-Link
Touto aktualizací D-Link odstranil pět bezpečnostních chyb, z nichž tři jsou klasifikovány jako kritické a dvě jako vysoce závažné. Kritické zranitelnosti umožňují přihlášení zvenčí bez hesla prostřednictvím chyby vynuceného přetečení zásobníku paměti routeru (buffer-oveflow). Po připojení k zařízení zde útočníci mohou spustit libovolný kód.
Další dvě zranitelnosti se týkají služby Telnet. Zdá se, že D-Link pro ni definuje pevné heslo. To samozřejmě není dobrý postup, ale pokud není Telnet aktivní, vcelku nic nehrozí. Jediným problémem je, že Telnet může být aktivován zneužitím bezpečnostní skuliny nebo se za určitých okolností aktivuje sám, a to aniž by si to uživatelé uvědomili.
Mohlo by vás zajímat
„Útočník může násilím povolit službu telnet a přihlásit se pomocí pevně zadaných přihlašovacích údajů odesláním specifických paketů do webové služby. Ke službě telnet povolené touto metodou lze přistupovat pouze ze stejné místní sítě, v jaké je umístěné i vlastní zařízení,“ vysvětluje k tomu D-Link. "To umožňuje neautentifikovaným vzdáleným útočníkům přihlásit se pomocí pevně zadaných pověření do telnetu a vložit do něj libovolné příkazy operačního systému, které pak lze v zařízení spustit."
V souvislosti s celým případem se D-Link ohradil vůči skutečnosti, že třetí strana zveřejnila problém dříve, než byly k dispozici záplaty podle standardního 90denního plánu jejich vydávání. "Nedoporučujeme, aby takto bezpečnostní výzkumníci postupovali. Vystavují koncové uživatele dalším rizikům, aniž by byly k dispozici záplaty od výrobce,“ uvedli zástupci D-Linku.
Zdroj: Security Week
