125 lỗ hổng mới trong các bộ định tuyến và thiết bị NAS

Thế giới của các thiết bị điện tử tiêu dùng, IoT và thiết bị thông minh được kết nối đang phát triển nhanh hơn bao giờ hết với hàng chục tỷ thiết bị được kết nối truyền phát và chia sẻ dữ liệu không dây qua Internet, nhưng nó an toàn đến mức nào?

Khi chúng tôi kết nối mọi thứ, từ máy pha cà phê đến ổ khóa cửa trước và ô tô với Internet, chúng tôi sẽ tạo ra nhiều cách tiềm năng hơn và có thể là những cách nguy hiểm hơn để tin tặc phá hoại.

Tin tôi đi, có hơn 100 cách tin tặc có thể hủy hoại cuộc sống của bạn chỉ bằng cách xâm nhập bộ định tuyến không dây của bạn. Thiết bị kiểm soát lưu lượng giữa mạng cục bộ và Internet, đe dọa đến bảo mật và quyền riêng tư của một loạt các thiết bị không dây, từ máy tính và điện thoại đến Camera IP, TV thông minh và các thiết bị được kết nối.

Trong nghiên cứu mới nhất của mình có tiêu đề “SOHOplessly Broken 2.0”, Công cụ đánh giá an ninh độc lập (ISE) đã phát hiện ra tổng cộng 125 lỗ hổng bảo mật khác nhau trên 13 bộ định tuyến văn phòng / văn phòng tại nhà (SOHO) và thiết bị lưu trữ gắn mạng (NAS), có khả năng ảnh hưởng đến hàng triệu người.

125 lỗ hổng mới trong các bộ định tuyến và thiết bị NAS

Các nhà nghiên cứu cho biết: “Hôm nay, chúng tôi cho thấy các biện pháp kiểm soát an ninh được các nhà sản xuất thiết bị áp dụng là không đủ để chống lại các cuộc tấn công do các đối thủ từ xa thực hiện. Dự án nghiên cứu này nhằm khám phá và tận dụng các kỹ thuật mới để phá vỡ các kiểm soát bảo mật mới này trong các thiết bị nhúng”.

Danh sách các nhà cung cấp bộ định tuyến bị ảnh hưởng

Các bộ định tuyến SOHO và thiết bị NAS được các nhà nghiên cứu kiểm tra là của các nhà sản xuất sau:

  • Buffalo
  • Synology
  • TerraMaster
  • Zyxel
  • Drobo
  • ASUS and its subsidiary Asustor
  • Seagate
  • QNAP
  • Lenovo
  • Netgear
  • Xiaomi
  • Zioncom (TOTOLINK)

Theo các nhà nghiên cứu bảo mật, tất cả 13 thiết bị được sử dụng rộng rãi mà họ đã thử nghiệm đều có ít nhất một lỗ hổng ứng dụng web có thể cho phép kẻ tấn công từ xa có quyền truy cập cover từ xa hoặc truy cập vào bảng điều khiển của thiết bị bị ảnh hưởng.

125 lỗ hổng mới trong các bộ định tuyến và thiết bị NAS

Các lỗ hổng này bao gồm từ kịch bản chéo trang (XSS), giả mạo yêu cầu chéo trang (CSRF), tràn bộ đệm, tiêm lệnh hệ điều hành (OS CMDi), bỏ qua xác thực, SQL SQL (SQLi) và các lỗ hổng tải lên đường dẫn tệp.

Kiểm soát hoàn toàn các thiết bị mà không cần xác thực

Các nhà nghiên cứu cho biết họ đã lấy được vỏ gốc trên 12 thiết bị, cho phép chúng kiểm soát hoàn toàn các thiết bị bị ảnh hưởng, 6 trong số đó có các lỗ hổng cho phép kẻ tấn công có thể kiểm soát hoàn toàn thiết bị từ xa và không cần xác thực.

Các bộ định tuyến kinh doanh và gia đình bị ảnh hưởng là Asustor AS-602T, Buffalo TeraStation TS5600D1206, TerraMaster F2-420, Drobo 5N2, Netgear Nighthawk R9000 và TOTOLINK A3002RU.

Báo cáo mới này, SOHOplessly Broken 2.0, là một nghiên cứu tiếp theo, SOHOplessly Broken 1.0, được công ty bảo mật ISE xuất bản năm 2013, khi họ tiết lộ tổng cộng 52 lỗ hổng trong 13 bộ định tuyến SOHO và thiết bị NAS từ các nhà cung cấp bao gồm TP-Link, ASUS và Linksys.

Kể từ SOHOpelessly 1.0, các nhà nghiên cứu cho biết họ đã tìm thấy một vài thiết bị IoT mới hơn triển khai một số cơ chế bảo mật hữu ích, như ngẫu nhiên hóa bố cục không gian địa chỉ (ASLR), các chức năng cản trở kỹ thuật đảo ngược và cơ chế xác minh tính toàn vẹn cho các yêu cầu HTTP.

Tuy nhiên, một số thứ không thay đổi kể từ SOHOplessly Broken 1.0, như nhiều thiết bị IoT vẫn thiếu các tính năng bảo vệ ứng dụng web cơ bản, như mã thông báo chống CSRF và tiêu đề bảo mật trình duyệt, có thể cải thiện đáng kể tư thế bảo mật của các ứng dụng web và các hệ thống cơ bản mà chúng tương tác với.

Các nhà nghiên cứu của ISE đã báo cáo một cách có trách nhiệm tất cả các lỗ hổng mà họ phát hiện ra cho các nhà sản xuất thiết bị bị ảnh hưởng, hầu hết đều phản hồi kịp thời và đã thực hiện các biện pháp bảo mật để giảm thiểu các lỗ hổng này, đã nhận được CVE Ids.

Tuy nhiên, một số nhà sản xuất thiết bị, bao gồm cả Drobo, Buffalo Americas và Zioncom Holdings, đã không đáp ứng với kết quả của các nhà nghiên cứu.

Leave a Reply