Egy éves csúszással foltozott kritikus sebezhetőséget a TP-Link

A támadók számára bizonyos routerek fölött teljes kontrollt engedő sebezhetőséget foltozott a TP-Link - több mint egy éves késéssel. A sérülékenységet Andrew Mabbitt, a Fidus biztonsági cég alapítója fedezte fel, az potenciális botnetek előtt is megnyitotta a sebezhető routerek kapuit.

A biztonsági rés a TP-Link WR940N és WR740N otthoni Wi-Fi routereit érinti, amelyek alapértelmezett bejelentkezési adatait a felhasználók nem változtatták meg. Az egyszerű Google kereséssel elérhető adatok birtokában a potenciális támadók, vagy akár botnetek könnyűszerrel átvehették az irányítást a megcélzott eszközök felett. A routerek fölött szerzett kontroll rengeteg támadási felületet adhat a behatolók számára, akik akár az eszköz DNS beállításait módosítva rosszindulatú, adathalász oldalakra is terelhetik a gyanútlan felhasználókat. A gyártó nem közölt pontos számokat jelenleg használatban lévő, sérülékeny routerekről, az ugyanakkor tudható, hogy a WR740N modellt 2017 óta nem forgalmazza.

Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.

Mabbitt már 2017 októberében felfedezte a hibát a WR940N modellekben, amelyet jelzett is a gyártó felé, amely néhány héttel később elérhetővé is tette a hozzá tartozó javítást. Nem sokkal később azonban, 2018 januárjában a szakértő a TP-Link WR740N routereiben is megtalálta ugyanezt a sebezhetőséget, amelyről ugyancsak tájékoztatta a TP-Linket. Noha a vállalat néhány héten belül itt is arról számolt be, hogy kiadta a szükséges patch-et az eszközökhöz, a javított firmware valójában nem volt elérhető a cég weboldalán. Az ügyben a TechCrunch megkereste a gyártót, noha annak szóvivője mindössze annyit mondott, a frissítés "jelenleg nem elérhető" ennek okát azonban nem részletezte. A megkeresést követően azonban röviddel feltűnt a javítás a vállalat oldalán.

Bár a patch már bárki számára elérhető, a routerek tulajdonosainak nagy része valószínűleg nem is tud róla, hogy készüléke hasonló sebezhetőséget tartalmaz. Ennek megfelelően Mabbitt szerint a cég felelőssége lenne, hogy értesítse a felhasználókat, ahelyett hogy arra vár, azok maguk keressék fel a cég ügyféltámogatói oldalát. A hasonló esetek elkerülésére egyébként már több helyen is láthattunk szigorú szabályozásokat, tavaly októberben Kalifornia törvényben kezdte tiltani, hogy az online kapcsolattal rendelkező eszközökhöz a gyártók széles körben használt alapértelmezett jelszavakat adjanak meg, vagyis minden készülékhez egyedi azonosítót kell mellékelniük - illetve Németország is egyre szigorúbb megkötéseket ír elő a routerek biztonsága kapcsán.