Google Project Zero beskylder Linux af sjusket kerne patching
Project Zero beskylder Linux-distributioner for at forlade brugere udsættes for kendt kerne sårbarheder i flere uger.
En zero-day-sårbarhed påvirker TP-Link SR20 smart home routere har været udsat offentligt, efter at selskabet angiveligt undladt at reagere på en forskers egen offentliggørelse.
Matthew Garrett, en Google security engineer, afslørede fejlen, efter at virksomheden har undladt at løse problemet inden for 90 dage, en tidsramme, der nu er etableret inden for cybersikkerhed, som anses for at være en rimelig mængde tid, der tilbydes til leverandører til at løse rapporterede sikkerhedsproblemer.
Det sikkerhedshul er en nul-dag vilkårlig udførelse af kode (ACE) – fejl i TP-Link SR20 routere, som er dual band 2,4 GHz / 5 GHz-produkter udråbt som routere, der er egnet til styring af smart home og Internet of Things (IoT) – enheder, mens risikoen for flaskehalse.
Den SR20 også understøtter enheder, som gør brug af ZigBee og Z-Wave-protokoller.
Som dokumenteret i denne Twitter-samtale feed, Garrett offentliggjort sine resultater til TP-Link over 90 dage siden via virksomhedens online sikkerhed videregivelse form.
På trods af TP-Link lovende forskere, at de ville høre tilbage inden for tre arbejdsdage, uger senere, var der ingen reaktion. Forsøg på at kontakte TP-Link via andre kanaler også mislykkedes.
CNET: DEA telefon optage program til indsamling af behov for yderligere gennemgang, amerikanske JUSTITSMINISTERIUM siger, at
Ifølge Garrett, problemet ligger i en proces, der TP-Link routere kører ofte kaldet “tddp,” TP-Link Enhed Debug-Protokollen. Denne proces kører på en root-niveau og kan iværksætte to typer af kommandoer; en type, som ikke kræver godkendelse, — type-og en, som gør, kategoriseret som type to.
Den SR20 router sårbarhed udsætter nogle typen en kommandoer, der er en af — kommando 0x1f, anmodning 0x01 — ser ud til at være for konfiguration validering.
“Du sender det et filnavn, et semikolon, og derefter et argument,” security engineer siger. “Routeren forbinder derefter tilbage til den forespørgende maskine i løbet af TFTP, anmoder filnavn via TFTP -, import det ind i en af LUA-fortolkeren, og passerer det argument, at den config_test () – funktionen i den fil, som den lige har importeret. Den tolk, der kører som root.”
TechRepublic: Unpatched sårbarhed i MikroTik RouterOS gør det nemt udnyttes denial-of-service-angreb
Den os.execute () – metoden vil derefter give en hacker mulighed for at køre som root udføre, hvad de ønsker på et lokalt netværk, som kan resultere i fuld kapre en sårbar enhed.
“Stop shipping debug dæmoner på produktion firmware, og hvis du vil have en web-formular til at sende sikkerhed problemer, så har nogen rent faktisk reagere på det,” Garrett tilføjet, i forhold til TP-Link.
Se også: Kapret ASUS Live Update software (opdater software installerer bagdøre på utallige Pc ‘ er på verdensplan
Yderligere tekniske detaljer om den sårbarhed, som er blevet offentliggjort i et blog-indlæg, skrevet af den sikkerhed ingeniør. Proof-of-concept (PoC) kode er også blevet udgivet.
TP-Link ‘ s situation er ikke den eneste router-relaterede spørgsmål om sikkerhed at dukke op i denne uge. Cisco har også endte i den varme stol efter at undlade at korrekt patch Cisco RV320 og RV325 WAN VPN-routere mod eksterne angreb.
ZDNet har nået ud til TP-Link, og vil opdatere, hvis vi hører tilbage.
Tidligere og relaterede dækning
Facebook tager ned tusindvis af sider, grupper og konti i fake news krig
Nvidia patches kode sårbarhed i GeForce Oplevelse
Forskere advarer åben himmel drone-politik udgør cyberkriminelle risiko
Relaterede Emner:
Sikkerhed-TV
Data Management
CXO
Datacentre