Zabudovaný backdoor v bezdrátových routerech D-Link (CVE-2024-6044 a CVE-2024-6045)

V bezdrátových routerech od společnosti routerech D-Link, v řadách EAGLE PRO AI a AQUILA PRO AI, je zabudovaný backdoor. Jedná se o zranitelnosti CVE-2024-6044 a CVE-2024-6045. Kdokoli z lokální sítě může přístupem na konkrétní URL spustit službu Telnet a přihlásit se pomocí přihlašovacích údajů správce získaných analýzou firmwaru.

17.6. 17:11 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[X]

Koupis taiwansky hardware a dostanes cinsky firmware a backdoor zdarma!

[X]

Tak koukam u Asusu taky pekna serie..

[X]

Dalsi taiwan a sup do botnetu. Jo, cinani jsou holt pred nama..

[Peter Golis]

Budú sa sami nahlasovať prevádzkovatelia, užívatelia a predajcovia takej techniky v EÚ, tak ako káže smernica DORA?

[Max]

To jsou důvody, proč upřednostňuji Mikrotik. Jednak vyšší bezpečnost, která i záleží na tom, jak si co nastavím, dále unlimited sw support. Po pěti letech budou všechny Asusy, TPLinky, Dlinky apod. děravý jak řešeto, na něco z toho možná půjde dát OpenWRT, ale na MK si zdarma naladím update i za 10 let.
Jo, je tam overhead v podobě znalostí, takže to není pro každého, ale to zrovna mně jaksi netrápí.
Zdar Max

[Radek]

Tak on i mtik má semtam nějakou díru. Sice ne úmyslnou, ale objevila se před pár lety jedna taková vetší

[Max]

On ale nikdo netrvdí, že MK je bez děr, nebo že Linux je bez děr. Tvrdím, že díry fixuje a téměř okamžitě a nekončí svůj support zařízení po 3-5 letech jako ostatní.
Navíc díky konfigurační svobodě můžeš i na nějaké díry aplikovat workaround v podobě změny nastavení (nahodit např. fw, vypnout třeba web služby apod.)
Zdar Max

[[Jooky]]

Vacsinou ked sa spomina MikroTik, tak niekto vytiahne ten login bypass bug v winbox ... a to je presne co pise Max. Ja mam v input chain drop a potom explicitne vymenovane veci, co mozu ist aj "z vonku". Nepotrebne veci su disablovane ... v takom stave nebolo mozne ten bug zneuzit a po najdeni ho MikroTik celkom rychlo opatchoval. Presne pre toto aj ja preferujem zariadenia od nich ... + mam u nich support konto a priebezne nahlasujem, co som nasiel. Vacsina veci je opravena do par dni, maximalne tyzdnov ... to sa neda porovnavat s vyrobcami ako d-link, tp-link, asus a podobny, ktory uz od vydania zariadenia seru na svoje zariadenia.

Inac co sa tyka dd-wrt a open-wrt. Ja som to skusal, ale to je take. Stary asus router to sice zachranilo, ale nejaka velka slava to nebola. Kazdy update sa tam nieco ine rozbilo a s opravovanim bugov sa tiez velmi neponahlali. Ked uz ma niekto HW a je mu ho luto vyhodit, tak budis. Ked ale kupovat nieco nove, tak jednoznacne MikroTik.

[Radius]

Me tedy Mikrotik napsal ze mam licenci na 5 let a pak at zaplatim. Tak teda nevim. Prestal jsem ho aktualizovat a nic po me nechce. Je to takovy demo zarizeni. V cene je licence na omezeny pocet dni. Pak se to zamkne a je z toho jen hloupy switch. Mam rb450g.

[Max]

Ani omylem. MK se dodává s doživotní licencí s tím, že jí můžeš upgradovat na vyšší (v3 na v4 nebo v5), pokud chceš. Stejně tak si můžeš koupit licenci do VM a dělat routing a další fw za pár korun.
Mám třeba ještě někde RB433AH a pořád aktualizuji. Dodáváno jako RouterOS v3, Level5 license, teď mám RoS6 a není problém s upgradem i na RoS7.
Zřejmě máš poškozenou licenci, nebo nevím, jeden mail na support a vyřešeno, zašlou nové aktivační ID apod. U starších zařízení se to stávalo neodborným upgradem na novější major verzi RoS (z RoS 3 na RoS 4, z RoS 4 na RoS 5), případně bylo třeba provést upgrade licence (zdarma).
Zdar Max

[Vantomas]

To je ovšem solidní historie

Neexpirovala licence jako taková, ale možnost updatovat na vyšší major verzi. Ale Mikrotik si to pak rozmyslel a dnes je fakt možné i do té skoro 15 let staré RB450G nahrát dnešní verzi. Kdo upgradoval v průběhu, ten je v pohodě, ale kdo oživuje relikvii, ten už to asi dnes bez supportu nedá, protože potřebuje jít postupně přes další major verze. Update se musel dělat postupně skrz klíčové verze, které už konkrétně dohromady nedám, ale zhruba 3.20 se měnil software-id ze 7 na 8 znaků, zhruba ke konci 4.x byl update co převáděl licenci na doživotní a od 5.x už je dnešní stav.

[Max]

Před asi rokem, nebo dvěma, jsem dělal upgrade RoS na nějakém zapomenutém MK z 3x na 6x a prošel jsem ok, šel jsem postupně dle nějakého support matrixu někde na google. Takže ani dnes to není problém.
Dělal jsem to jen ze zvědavosti, nechtěl jsem ho už někde použít.
Zdar Max

[Rovano]

Také jsem spokojený. Nebo holt člověk musí zašustit papírkama.

Stále MK nevyžaduje cloud nebo už taky předpokládají, že to člověk píchne na net, aby si nastavil Internet?

Máte někdo zkušenost, zda má cenu dát OpenWRT na MK a jak to poběží? Ptám se pro BFU segment.

[Max]

Ne, MK funguje stále stejně. Napojení na Cloud je jen v případě, že si kupuješ licenci na VM, tak ta VM musí mít přístup na net, aby se ověřila proti licenčnímu serveru (tvému účtu u MK).
Podle mně udělá RouterOS více muziky, než OpenWRT, takže já v tom smysl nevidím. Navíc spousta problémů ohledně kompatiblity, viz např "OpenWrt is not compatible with the bootloader of RouterOS v7 or v6.46" a ne všechem hw je kompatibilní, nebo plně kompatibilní.
OpenWRT dává podle mně smysl jen na vyjetý hw bez supportu, nebo fcí, co má TPlink, Asus apod.

Jinak MK uměl KVM a MetaRouter, takže si můžeš spusti OpenWRT v RouterOS :D. V RoS7 nahrazují kontejnerama.
Zdar Max

[Rovano]

:D To by mě nenapadlo s tím KVM. Díky za tipy, jako vždy!

[woknař]

zlatej turris

[RealJ]

Pobavilo, diky!