Trustwave spesialister oppdaget en rekke sårbarheter i D-Link Og Comba Telecom rutere. Insekter tillater å trekke ut data fra Internett-leverandører og tilgangs passord fra enheter uten autentisering.
ENfter undersøke D-Link DSL-2875AL router, Forskerne fant ut at det er påvirket av det samme problem at andre anordninger av produsenten er sårbare for: de gir tilgang til alle ruterinnstillingene ved å be om romfile.cfg fil. Autentisering er ikke nødvendig for denne, og Wi-Fi-passordet er lagret i tekstformat.“Etter en gyldig pålogging av administrator nettet panel skiller ikke gyldige HTTP-forespørsler fra admin og de som kommer fra andre brukere. Denne måten, en kan angriper script en automatisk rutine som utfører uønskede handlinger som vilkårlige endringer i ruter og SSID-passord og konfigurasjoner”, - rapporterte Trustwave forskere.
Dess, De D-Link DSL-2875AL Og DSL-2877AL modellene var utsatt for problemet med data avsløring. Faktum er at bare ved å studere HTML-koden til påloggingssiden, du kan finne to linjer som tilsvarer legitimasjon av Internett-leverandør.
D-Link ble informert om disse feilene tilbake i januar i år, og denne måneden produsenten forberedt patcher for DSL-2875AL og DSL-2877AL modeller.
derimot, problemer med ekstern tilgang og passord avsløring ble også funnet i produkter av produsenten Comba Telecom: sårbarheter ble funnet i Wi-Fi-kontrollerne AC2400, samt tilgangspunkter AP2600-I-A02 Og AP2600. Det er viktig å merke seg at disse produktene ikke er ment for hjemmebrukere, men for tilfeller der det er nødvendig å utvide Wi-Fi-dekning og serverer et stort antall brukere.
Avdekking av konfidensielle data i disse tilfellene er også mulig uten autentisering: ved å sende en spesiell forespørsel og laste ned konfigurasjonsfilen, samt vise kilden HTML-koden på administrasjonskonsollen. Avhengig av sårbarhet brukes, angripere kan trenge å knekke passord i MD5, men ikke det representerer ikke stor problem.
Les også: Gratis Windows Rat Trojan NanoCore kan føre Outbreak
I motsetning til D-Link, Comba Telecom representanter ikke svare på forespørsler fra Trustwave eksperter, selv om forskere forsøkt å kontakte selskapet siden februar 2019. For tiden, Det er fortsatt ingen oppdateringer for problematiske enheter.
