Zranitelnost zařízení Ubiquiti

Virus Skynet, který napadal zařízení od Ubiquiti, má nového nástupce: zranitelnost Motherfucker. Využívá chybu ve webových službách, což má za následek úplnou kontrolu nad zařízením. Tato zranitelnost by měla být opravena ve firmware verze 5.6.4. Po upgrade je doporučována změna hesla.

14.5.2016 09:47 | Michal Makovec | Bezpečnostní upozornění

Komentáře

[NN]

Varianta exploituje pul roku starou diru, nejedna se o novy vektor..

[figliar0]

Sice troska neskoro, ale doplnim nejake info.

U nas v robote mame dva kusy PowerBeam PBE-5AC-300 pre prepoj k jednej malo podstatnej budove. Pre tieto AC varianty je najaktualnejsia verzia FW 7.2 z februara 2016, kde mam overene, ze je chyba opravena. Podla changelogu vsak chybu z opisom "Vulnerability via HTTP(s) allowing remote access to unauthenticated users" opravili uz vo ver. 7.1.3 z jula 2015, cize sa jedna dokonca o viac ako pol roka staru chybu!

Divim sa, ako je mozne, ze pre M-kove zariadenia to opravili az v aprili tohoto roku a navyse s tym uzasnym popisom opravy "Some vulnerability/security changes". Nuz ale za tie ceny by som asi vela chcel...

[Thunder.m]

Nebo jednoduše zablokovat http port z venkovní části sítě ;)

[Thunder.m]

Kdyby náhodou někdo nevěděl jak na to.

Do /var/etc/persistent/rc.poststart doplníme řádky:

iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

Soubor musí být spustitelný a zapsání konfigurace...

chmod 755 /etc/persistent/rc.poststart
cfgmtd -w -p /etc/

pak už jen reboot, nebo spuštění souboru.

[Vantomas]

To ale zablokuje přístup i z vnitřní strany sítě.

[Ondrej Santiago Zajicek]

O to je to lepe zabezpecene ;–)

[Turban Legend]

Proboha, kdo ty názvy vymýšlí? Uvědomujete si, že obdobně v češtině by se to jmenovalo třeba "zranitelnost Kozomrd" nebo "zranitelnost Pračůrák" a četli bychom si o tom na blogu CESNETu nebo CZ.NICu?

[Peter Golis]

V tomto prípade mamrd.

[JoHnY3]

Autor exploitu se zjevne snazi zbytku IT sveta naznacit co si o nem mali myslet

[Ondrej Santiago Zajicek]

V tomto pripade to tak pojmenoval autor prislusneho cerva. Tedy nejde ani tak o jmeno zranitelnosti ale o jmeno siriciho se cerva. Samotrna zranitelnost je starsi.

[Michal Makovec]

může se hodit...

UBNT Malware Removal Tool 05-15-2016

http://community.ubnt.com/t5/airMAX-General-Discussion/Malware-Removal-Tool-05-15-2016/m-p/1564953#M55507

a zároveň dnes vydali nový firmware...

We are releasing 5.6.5 with the following changes.

• New: Disable custom scripts usage
• New: Enable syslog by default
• Fix: Security updates (malware scripts check and removal)

[Lol Phirae]

New: Disable custom scripts usage

No to je báječné vylepšení aneb jak s vaničkou vylít i dítě.

[Ondrej Santiago Zajicek]

Jo, udelat takovou zmenu v minor verzi firmware - tim asi chtej uzivatele odnaucit delat pravidelne upgrady.

[CLX-Kuba]

Takze konec compliance testu a jede se na Arubu

[=^..^= AmigaPower®]

...ten compliance test už tam nebyl asi od 5.5.8, nebo 9

[petrfm]

Není jednodušší tam tu zranitelnost nechat a jít na pivo? Stejně se tam za dva dny objeví tři další, tak se to dá aktualizovat třeba až za měsíc. Nebo se zranitelnost zalepí sama, až se to pokazí, vyhodí a koupí nové zařízení Čili místo pravidelných updates by stačilo SW kurvítko, nebo vysychající kondenzátor, šikovně umístěný vedle lineárního stablíku. Lidi by na sebe měli více času a netrávili život nad zbytečnými aktualizacemi, dodávajícími falešný pocit bezpečí

[Michal Makovec]

nektere z variant viru motherfucker uz maji v sobe sw kurvitko vestavene - po urcite dobe od napadeni poslou zarizeni do tovarniho nastaveni

[ct]

Za dalsi ten vir dost silne vytezuje CPU, takze throughput jde dolu. Pak taky zpusobuje samovolne restarty, coz klienti dost tezce nesou.

[=^..^= AmigaPower®]

Zajímavý je, že restarty to dělalo jen na AP, zatímco klienti šli rovnou do defaultu...