Apró szoftvercég hibája veszélyeztet sokmillió routert
Számos gyártó vezeték nélküli routereit érintő kritikus sebezhetőséget talált a SEC Consult. A biztonsági cég szerint a hálózatra kötött USB-s eszközök kezeléséért felelős kernel-driver hibája rosszindulatú kód futtatását is lehetővé teszi a készülékeken.
Szinte heti rendszerességgel derül fény új sebezhetőségekre az otthoni Wi-Fi routerekben - a lista most újabb ponttal bővül, amelyet a SEC Consult biztonsági kutatócég fedezett fel. A legfrissebb hiba, bár elsősorban a fentebb említett routereket sújtja, más Linuxra épülő beágyazott rendszereket is fenyegethet, ha azokban megtalálható a NetUSB szolgáltatás.
Kőkorszaki hiba
A tajvani KCodes Technology által fejlesztett driver felelős az eszközökhöz USB-n csatlakoztatott készülékek, például tárolók, nyomtatók, netán kamerák helyi hálózaton vagy online történő megosztásáért. A bekapcsolt szoftver a 20005 TCP porton figyel a kapcsolódó PC-kre, amelyek a Windows és OS X rendszerekre is elérhető kliensszoftvernek köszönhetően fizikailag csatlakoztatott USB-s eszközökként ismerik fel a routerhez kapcsolt készülékeket.
Mint kiderült, a NetUSB aránylag egyszerűen térdre kényszeríthető: ha a driver egy 64 karakternél hosszabb hostnevű csatlakozó számítógéppel találkozik, puffertúlcsordulásba fut, ezt kihasználva pedig a potenciális támadók saját kódot futtathatnak az eszközön - méghozzá kiterjedt jogosultságokkal, a szolgáltatás ugyanis kernel módban működik. Ugyan a NetUSB által használt portot sok eszköz csak helyi hálózaton osztja meg, a kutatók szerint ez nem általános, az online veszélyeztetettség sem kizárt egyes eszközöknél.
Machine recruiting: nem biztos, hogy szeretni fogod Az AI visszafordíthatatlanul beépült a toborzás folyamatába.
A szolgáltatás hibái által jelentett veszélyt tetézi, hogy a szerverhez való csatlakozáshoz a szoftver egyszerű, kölcsönös azonosításra támaszkodik - amely, ahogy a SEC Consult is rámutat, gyakorlatilag semmit nem ér, miután az autentikációhoz használt statikus AES kulcsok megtalálhatók a kernel driverben és windowsos, illetve OS X-es kliensszoftverben is.
A sebezhetőség nem korlátozódik egy adott gyártó routereire, a hibát felfedező kutatók 26 cég termékeiben találták meg a driver jelenlétére utaló NetUSB.inf fájlt. Az érintett vállalatok között megtalálható a TP-Link, a Netgear és a ZyXEL is - a vállalat weboldalán a teljes lista is elérhető, ugyanakkor ez még nem teljes, a cég szerint ugyanis további 21 gyártó vár ellenőrzésre. A feladatot nehezíti, hogy az egyes vállalatok eltérően utalhatnak a szóban forgó funkcióra: az a Netgearnél ReadySHARE néven fut, mások pedig egyszerűen nyomtató- vagy USB-megosztásként jelölik.
A SEC Consult szakértői a hibát személyesen jelezték a TP-Link és a Netgear felé, illetve azzal kapcsolatban több CERT (computer emergency response team) szervezetet is értesítettek, akik felvették a kapcsolatot a többi gyártóval. Egyelőre úgy látszik csak a TP-Link látott neki a biztonsági rés befoltozásának, azt már több készülékén orvosolta. Néhány gyártó eszközei esetében lehetőség van a NetUSB kikapcsolására a webes kezelőfelületen - ezt érdemes megtenni, legalább amíg az adott cég ki nem adja a megfelelő javítást. A szakértők a drivert fejlesztő KCodes Technology-val is felvették a kapcsolatot, az azonban egy rövid, "abszurd" levélváltás után megszakadt, a tajvani vállalat nem adott érdemi választ a probléma kapcsán.
A frissen felfedezett sebezhetőség, illetve a hasonló biztonsági rések gyakori felbukkanása aggasztó jövőképet sejtet, miután rengeteg eszköz rendelkezik online kapcsolattal még egy átlagos háztartásban is,ez a szám pedig a közeljövőben megsokszorozódik majd. Nagyon úgy tűnik azonban, hogy erre a gyártók biztonsági szempontból egyáltalán nincsenek felkészülve. A helyzetet az ismeretlen gyártóktól összevásárolt funkciók tömkelege teszi még átláthatatlanabbá, nem világos, hogy pontosan ki is tartozik felelősséggel felhasználók felé. Ha az egyes gyártók termékei már most, egy olyan kitaposottnak vélt területen mint a Wi-Fi routereké is ennyi biztonsági hibától szenvednek, az okos háztartási eszközök tömegeinek megjelenése valóságos aranybányát jelent majd a támadók számára.