Výskumníci v oblasti bezpečnosti našli celkom 125 rôznych slabých miest zabezpečenia v 13 smerovačoch malých kancelárskych a domácich kancelárií (SOHO) a zariadeniach NAS, ktoré by mohli ovplyvniť milióny používateľov.
Zostaviť najnovšiu štúdiu SOHOpelessly Broken 2,0, Nezávislí hodnotitelia bezpečnosti (ISE) testovali smerovače SOHO a zariadenia NAS od spoločností Buffalo, Synology, TerraMaster, Zyxel, Drobo, ASUS a ich dcérske spoločnosti Asustor, Seagate, QNAP, Lenovo, Netgear, Xiaomi a Zioncom (TOTOLINK).
Vedci zistili, že všetkých 13 bežne používaných zariadení, ktoré testovali, obsahovalo najmenej jednu zraniteľnosť webovej aplikácie, ktorá by mohla útočníkovi umožniť získať prístup k postihnutému zariadeniu vzdialený prístup do shellu alebo prístup na administratívny panel.
Zistené chyby zabezpečenia ISE sa pohybovali od skriptovania medzi weby (XSS), falšovania žiadostí medzi weby (CSRF), pretečenia vyrovnávacej pamäte, sistema operativo (OS CMDi), bypass overovania, SQL vstrekovania a cesty nahrávania súborov.
CELKOM poškodené 2,0
Podľa vedcov sa im podarilo umiestniť zariadenie root shell 12, ktoré im umožní plnú kontrolu nad postihnutým zariadením. Okrem toho všetkých šesť testovaných zariadení obsahovalo slabé stránky, ktoré útočníkovi umožnili získať kontrolu nad zariadením na diaľku bez nutnosti overovania.
Obchodné a domáce smerovače, ktoré obsahujú chyby ISE, sú Ausustor AS-602T, Bufallo TeraStation TS5600D1206, TerraMaster f2-420, Drobo 5N2, Netgear Nighthawk R9000 a TOTOLINK A3002RU.
Nová správa spoločnosti je následnou štúdiou pre spoločnosť SOHOpelessly Broken 1,0 vydané spoločnosťou ISE v roku 2013. V tom čase spoločnosť odhalila celkom 52 zraniteľností v 13 zariadeniach SOHO Routers a NAS od spoločností TP-Link, ASUS, Linksys a ďalších. Predávajúci.
Od zverejnenia najnovšej štúdie si ISE všimla, že niektoré novšie zariadenia IoT implementovali užitočné bezpečnostné mechanizmy, vrátane priestorovej náhodnosti (ASLR), funkcií určených na zastavenie spätného inžinierstva a mechanizmov overovania integrity pre požiadavky HTPP. ,
Spoločnosť hlási všetky zraniteľné miesta nájdené v SOHOpently Broken 2,0 postihnutým výrobcom zariadení a väčšina reagovala na spoločnosť a začala prijímať bezpečnostné opatrenia na zníženie tejto zraniteľnosti. Drobo, Buffalo Americas a Zioncom Holdings však pri predložení zistení ISE neodpovedali.
Prostredníctvom služby Hacker News
