Kiberdrošības kompānijas Trustwave drošības pētnieks Saimons Kenins (Simon Kenin) ir atklājis ievainojamības vairākos D-Link un Comba maršrutētājos, kas kibernoziedzniekiem atvieglo iespēju piekļūt ierīcēs saglabātajiem lietotājvārdiem un parolēm.
Kenins atrada kopumā piecus drošības trūkumus, divus D-Link maršrutētājos un trīs vairākos Comba Telecom maršrutētājos, kas var ietekmēt ikvienu lietotāju un sistēmu, kura pievienota tīklam. Trustwave savā bloga ierakstā, sīki izklāstot atklāto, paskaidro, kāpēc šīs ievainojamības ir tik nopietnas, piebilstot:
“Uzbrucēja kontrolēts maršrutētājs var mainīt, kā lietotāji pieslēdzas tīklam, lai novirzītu lietotājus uz ļaunprātīgām tīmekļa vietnēm. Uzbrucēja kontrolēts maršrutētājs var liegt piekļuvi tīklam, iespējams, bloķējot lietotāju piekļuvi svarīgiem resursiem vai bloķējot klientu piekļuvi jūsu vietnei.”
Pirmā D-Link ievainojamība ietekmē D-Link DSL-2875AL divjoslu modemu. Šajā maršrutētājā ir paroles atklāšanas ievainojamība, kas ļauj ikvienam, kam ir piekļuve tīmekļa pārvaldības IP adresei, bez autentifikācijas piekļūt parolēm, kas tur saglabātas vienkārša teksta veidā
Otra ievainojamība ietekmē D-Link DSL-2875AL, kā arī D-Link DSL-2877AL,, ļaujot uzbrucējam piekļūt ISP kontam vai maršrutētājam, ja administrators atkārtoti izmantojis tos pašus akreditācijas datus.
Trīs ievainojamības atrastas arī Comba AC2400 Wi-Fi piekļuves kontrolierī un Comba AP2600-I Wi-Fi piekļuves punktā.
Pirmajā maršrutētājā tika atrasta viegli atšifrējama paroles MD5 jaucējvērtība (hash), kas tika saglabāta konfigurācijas failā, bet otrajā maršrutētājā bija divas ievainojamības: dubultota lietotājvārda un paroles MD5 jaucējvērtība ierīces pieslēgšanās lapas kodā un datubāze, kurā lietotājvārds un parole glabājās vienkārša teksta veidā.
Trustwave par atrastajām vājajām vietām ziņoja gan D-Link, gan Comba, tomēr abi uzņēmumi, nesteidzās risināt atklātās problēmas.
D-Link paziņoja, ka ievainojamības novēršanai nepieciešams vairāk laika, tāpēc Trustwave paplašināja informācijas atklāšanas logu līdz 90 dienām. Lai gan D-Link pārtrauca saziņu ar Trustwave, tomēr beigu beigās maršrutētāju ievainojamības tika novērstas.
Savukārt Comba nereaģēja uz vairākkārtējiem Trustwave paziņojumiem, un ievainojamības šīs kompānijas ierīcēs vēl nav likvidētas.
Avots: techradar.com
