Google Project Zero beschuldigt Linux van slordig patching kernel
Project Zero beschuldigt Linux distributies van het verlaten van de gebruikers blootgesteld aan bekende kernel kwetsbaarheden voor weken.
Een zero-day kwetsbaarheid van invloed TP-Link SR20 smart home-routers is publiekelijk ontmaskerd nadat het bedrijf naar verluidt nagelaten om te reageren op een onderzoeker van de eigen openbaring.
Matthew Garrett, Google security engineer, bleek de bug na het het bedrijf niet om het probleem te verhelpen binnen een termijn van 90 dagen, een termijn nu gevestigd in cybersecurity en die geacht worden een redelijke tijd geboden om leveranciers te lossen beveiligingsproblemen.
De lek is een zero-day uitvoeren van willekeurige code (ACE) – bug in TP-Link SR20 routers, die dual-band 2,4 GHz / 5 GHz producten aangeprezen als routers geschikt voor het aansturen van smart home en Internet of Things (IoT) apparaten, terwijl het verminderen van het risico van knelpunten.
De SR20 ondersteunt ook apparaten die gebruik maken van de ZigBee en Z-Wave protocollen.
Zoals beschreven in dit Twitter-gesprek voer, Garrett bekendgemaakt van zijn bevindingen aan de TP-Link van meer dan 90 dagen geleden via de firma ‘ s online beveiliging informatieformulier.
Ondanks de TP-Link veelbelovende onderzoekers zouden ze hoort binnen de drie werkdagen, weken later was er geen reactie. Pogingen om contact met de TP-Link via andere kanalen ook niet.
CNET: DEA telefoon record collection programma moet nader onderzoek, ministerie van justitie zegt
Volgens Garrett, het probleem ligt in een proces dat de TP-Link routers vaak genoemd “tddp,” de TP-Link-Apparaat Debug-Protocol. Dit proces wordt uitgevoerd in een root-niveau en het kunnen opstarten van twee vormen van opdrachten; een type die geen authenticatie vereisen — type één-en één die dat doet, gecategoriseerd als type twee.
De SR20 router kwetsbaarheid bloot sommige type de commando ‘ s, één van die — commando x 0x1f, aanvraag 0x01 — lijkt te worden voor een configuratie valideren.
“Stuur je een bestandsnaam, een punt komma en dan een argument,” zegt security engineer. “De router verbindt terug naar de verzoekende machine over TFTP, verzoeken de bestandsnaam via TFTP, de invoer in een LUA-interpreter en geeft het argument voor de config_test() functie in het bestand het gewoon geïmporteerd. De tolk is uitgevoerd als root.”
TechRepublic: Ongepatchte kwetsbaarheid in MikroTik RouterOS kunnen gemakkelijk worden misbruikt voor denial of service-aanval
De os.execute () – methode zal dan een aanvaller uit te voeren als root uitvoeren wat zij willen op een lokaal netwerk, wat kan resulteren in het volledige kapen van een kwetsbaar apparaat.
“Stop verzendkosten debug-daemons op de productie van de firmware en als je gaat om een webformulier in te dienen security problemen hebben dan iemand daadwerkelijk op reageren,’ Garrett toegevoegd, in verband met de TP-Link.
Zie ook: Gekaapt ASUS Live Update software installeert backdoors op talloze Pc ‘ s wereldwijd
Verdere technische details over de kwetsbaarheid zijn gepubliceerd in een blog post geschreven door de security engineer. Proof-of-concept (PoC) code is ook al uitgebracht.
TP-Link ‘ s situatie is niet de enige router-gerelateerde security probleem te verschijnen deze week. Cisco heeft ook eindigde in de hot seat na niet juist patch Cisco RV320 en RV325 WAN VPN-routers tegen externe aanvallen.
ZDNet heeft bereikt TP-Link en zal updaten als we horen terug.
Vorige en aanverwante dekking
Facebook neemt vaststelling van duizenden pagina ‘ s, groepen en accounts in nep-nieuws-oorlog
Nvidia patches code kwetsbaarheid in GeForce Ervaring
De onderzoekers waarschuwen open lucht drone-beleid vormt cybercrimineel risico
Verwante Onderwerpen:
Beveiliging TV
Data Management
CXO
Datacenters