Bezpečnost | Router | Netgear

79 modelů routerů Netgear má bezpečnostní díru „zero-day“. Výrobce zaváhal s opravou

Odborníci na bezpečnost zveřejnili informace o bezpečnostní díře, kterou objevili v 79 modelech routerů značky Netgear. Podstatnou skutečností je, že zranitelnost dosud nebyla opravena, ačkoli výrobce dostal tři měsíce na vydání záplaty.

Problém je popisován jako chyba zabezpečení paměti, díky které mohou útočníci obejít autentizaci na zranitelných směrovačích. Informaci publikovali nezávisle na sobě dva výzkumníci: d4rkn3ss na Zero Day Initiative a Adam Nichols z bezpečnostní firmy Grimm.

Kde je zakopaný pes?

„Specifická chyba existuje v rámci služby httpd, která ve výchozím nastavení naslouchá na TCP portu 80,“ uvádí zpráva ZDI. „Problém je způsoben nedostatečným ověřením délky dat zadaných uživatelem před jejich zkopírováním do vyrovnávací paměti.“

Důležité je, že útočník k zahájení hackování nemusí projít procesem ověření, přesto může získat nejvyšší přístupová práva (root). Nichols našel chybu v modelové řadě routerů Netgear R7000, ale dle jeho tvrzení je stejný problém přítomen v celkem 79 zařízeních a 758 verzích firmwaru. Dle jeho zkoumání se uvedená chyba nachází již ve firmwaru WGT624v4 verze 2.0.6 z roku 2007.

Netgear byl informován o zjištěných nedostatcích již v lednu tohoto roku, nicméně firma během 90 dnů nevydala žádnou opravu. Výrobce následně požádal o prodloužení lhůty do konce června, nicméně Zero Day Initiative odmítla a rozhodla se informaci zveřejnit.

Čekání na záplatu

„Webové servery ve firmwaru zařízení jsou často nejzranitelnějším aspektem systému, protože musí analyzovat vstup uživatele ze sítě a spouštět složité funkce CGI, které tento vstup používají,“ uvedl Nichols. „Webový server je navíc napsán v jazyce C a byl nedostatečně testován, proto je často zranitelný vůči triviálnímu narušení paměti.“ dodal.

Je třeba poznamenat, že zmiňovaný problém se netýká všech zařízení uvedené značky. Dokud není k dispozici oprava, mají majitelé postižených směrovačů jediný způsob, jak chránit své routery před útokem. Pointa spočívá v omezení možnosti interakce se zařízením pouze na důvěryhodné stroje.

„S touto službou by mělo být povoleno komunikovat pouze klientům a serverům, kteří vůči ní mají legitimní vztah,“ uvádí zpráva. „Toho lze dosáhnout několika způsoby, zejména pravidly firewallu a whitelistingem.“

Vyjádření společnosti NETGEAR

Doplňujeme oficiální vyjádření společnosti NETGEAR: „Společnost NETGEAR si je samozřejmě celé věci vědoma a aktivně pracuje na jejím řešení. V současnosti jsou k dispozici opravy většiny zranitelností pro Wi-Fi routery R6400v2, R6700v3, R6900, R6900P, R7000, R7000P, R7900 a R8000. V případě ostatních modelů by mělo být finální řešení dostupné co nejdříve. Do té doby společnost NETGEAR vyzývá všechny majitele dotčených produktů, aby si deaktivovali vzdálený přístup v uživatelském rozhraní GUI jejich zařízení. Pomohou tak výrazně snížit jeho potenciální zranitelnost. Tato výzva se nicméně týká pouze těch uživatelů, kteří vzdálenou správu sami aktivovali. Produkty NETGEAR jsou zákazníkům dodávány s deaktivovaným přístupem. Bližší informace a aktuality k tomuto tématu jsou dostupné zde.

Diskuze (8) Další článek: Nejrozšířenější připojení k internetu? Češi zůstávají národem wifinářů

Témata článku: Bezpečnost, Hacking, Wi-Fi, Router, CGI, Netgear, Firmware, Zeď, Oprava, Bezpečnostní díra, Webový server, Zero Day Initiative, Díra, Výrobce, Zkopírování, Security Advisor



Recenze cykloradaru Garmin Varia RCT715. Bílé dodávky, všechny si vás natočím

Recenze cykloradaru Garmin Varia RCT715. Bílé dodávky, všechny si vás natočím

** Garmin do svého stále unikátního cykloradaru přidal kameru ** Snímá a ukládá, co se při jízdě děje za sedlem ** Kromě toho je to jedna z nejsilnějších svítilen na kolo

Marek Lutonský
Testy
Test pěti solárních nabíječek. Od malé a zbytečné po skvělou, která utáhne i notebook

Test pěti solárních nabíječek. Od malé a zbytečné po skvělou, která utáhne i notebook

Přenosné solární nabíječky jsou určeny především pro drobnou elektroniku, ty větší si ale poradí i s notebooky velkými powerpacky nebo kombinací všeho.

Stanislav Janů
Srovnávací testSolární energie
Podrobný návod, jak zrušit SIPO. Nejsnazší je převedení plateb jinam

Podrobný návod, jak zrušit SIPO. Nejsnazší je převedení plateb jinam

**Než zrušíte SIPO, musíte platby převést jinam. **Neplatí to nutně pro poplatky veřejnoprávním médiím. **SIPO zrušíte osobně, elektronicky nebo se zruší automaticky.

Petr Urban
Česká poštaNávody
Domácí síť bez kompromisů. Jak dosáhnout na maximální propustnost a dokonalé pokrytí

Domácí síť bez kompromisů. Jak dosáhnout na maximální propustnost a dokonalé pokrytí

Rychlost sítě omezuje ten nejpomalejší prvek po cestě. Poradíme vám, jak vybudovat síť s maximální propustností a dokonalým pokrytím domácnosti.

Antonín Trčálek
SíťRouter
V nitru DJI Mini 3 Pro: Ten dron je větší záhada než tajemný hrad v Karpatech [galerie]

V nitru DJI Mini 3 Pro: Ten dron je větší záhada než tajemný hrad v Karpatech [galerie]

** Létá skvěle, fotí slušně a má autopilota ** Jak se to všechno podařilo vtěsnat do 249 gramů? ** Podívejte se na rozborku nejlepšího dronu letošní sezóny

Jakub Čížek
KvadrokoptéraDJIDrony
Šmírování kamerami Googlu: Koukněte, co nového se zase objevilo na Street View

Šmírování kamerami Googlu: Koukněte, co nového se zase objevilo na Street View

Google stále fotí celý svět do své služby Street View. A novodobou zábavou je hledat v mapách Googlu vtipné záběry. Podívejte se na výběr nejlepších!

redakce
Mapy GoogleStreet View