ASUS on tunnettu suosittujen elektroniikkatuotteiden valmistaja kannettavista tietokoneista ja puhelimista kotireitittimiin ja näytönohjainkortteihin.
Tällä viikolla yhtiö julkaisi laiteohjelmistopäivitykset laajalle valikoimalle sen kotireitittimiä sekä a vahva varoitus että jos et halua tai pysty päivittämään laiteohjelmistoasi juuri nyt, sinun on:
[Poista] palvelut, jotka ovat käytettävissä WAN-puolelta mahdollisten ei-toivottujen tunkeutumisten välttämiseksi. Näitä palveluita ovat etäkäyttö WAN-verkosta, portin edelleenohjaus, DDNS, VPN-palvelin, DMZ, portin laukaisu.
Arvelemme, että ASUS odottaa mahdollisten hyökkääjien kiirehtivän paljastuneiden laitteiden tutkimiseen nyt, kun pitkä luettelo virheenkorjauksista on julkaistu.
(Tietenkin hyvin perillä olevat hyökkääjät ovat saattaneet tietää joistakin, monista tai kaikista näistä rei'istä, mutta emme ole tietoisia mistään nollapäivän hyökkäyksistä luonnossa.)
Kuten olemme aiemmin huomauttaneet Naked Securityssa, hyväksikäytöt on usein paljon helpompi selvittää, jos sinulla on viittoja, jotka kertovat, mistä etsiä…
…samalla tavalla kuin neulan löytäminen heinäsuovasta on paljon nopeampaa ja helpompaa, jos joku kertoo, missä paalissa se on ennen kuin aloitat.
Tee kuten sanomme, älä niin kuin teemme.
Ärsyttävänä ASUS-asiakkaille, ehkä kaksi nyt korjatuista haavoittuvuuksista on odottanut korjausta pitkään.
Näillä molemmilla on 9.8/10 "vaarapisteet" ja KRIITTINEN luokitus Yhdysvaltain NVD:ssä tai Kansallinen haavoittuvuustietokanta (meidän parafrasoidut raportit):
- CVE-2022-26376. Muistin vioittuminen httpd unescape -toiminnossa. Erityisesti muotoiltu HTTP-pyyntö voi johtaa muistin vioittumiseen. Hyökkääjä voi lähettää verkkopyynnön tämän haavoittuvuuden laukaisemiseksi. (Peruspisteet: 9.8 KRIITTINEN.)
- CVE-2018-1160. Netatalk ennen 3.1.12 [julkaistu 2018-12-20] alttiina rajojen ulkopuoliselle kirjoitukselle. Tämä johtuu hyökkääjän ohjaamien tietojen rajojen tarkistamisen puutteesta. Todentamaton etähyökkääjä voi hyödyntää tätä haavoittuvuutta suorittaakseen mielivaltaisen koodin. (Peruspisteet: 9.8 KRIITTINEN.)
Selittää.
nettalk on ohjelmistokomponentti, joka tukee Applen kaltaista verkkotoimintaa, mutta tämä ei tarkoita, että hyökkääjän olisi käytettävä Macintosh-tietokonetta tai Apple-ohjelmistoa vian laukaisemiseksi.
Itse asiassa, koska onnistunut hyväksikäyttö vaatisi tarkoituksella väärin muotoiltuja verkkotietoja, laillinen Netatalk-asiakasohjelmisto ei luultavasti tekisi työtä joka tapauksessa, joten hyökkääjä käyttäisi räätälöityä koodia ja voisi teoriassa tehdä hyökkäyksen mistä tahansa käyttöjärjestelmästä mihin tahansa tietokoneeseen. verkkoyhteyden kanssa.
HTTP pakeneminen ja karkaaminen tarvitaan aina, kun URL-osoite sisältää datamerkin, jota ei voida esittää suoraan URL-osoitteen tekstissä.
Esimerkiksi URL-osoitteet eivät voi sisältää välilyöntejä (varmistaaksesi, että ne muodostavat aina yhden, yhtenäisen osan tulostettavaa tekstiä), joten jos haluat viitata käyttäjänimeen tai tiedostoon, joka sisältää välilyönnin, sinun on paeta välilyöntimerkki muuttamalla se prosenttimerkiksi, jota seuraa sen ASCII-koodi heksadesimaalimuodossa (0x20 tai 32 desimaalina).
Vastaavasti, koska tämä antaa erityisen merkityksen itse prosenttimerkille, myös se on kirjoitettava prosenttimerkiksi (%
) ja sen ASCII-koodi (0x25 heksadesimaali tai 37 desimaali), samoin kuin muut URL-osoitteissa käytetyt erottuvat merkit, kuten kaksoispiste (:
), kauttaviiva (/
), kysymysmerkki (?
) ja et-merkki (&
).
Kun verkkopalvelin on vastaanottanut sen (ohjelma, jota kutsutaan nimellä httpd
yllä olevissa CVE-tiedoissa), kaikki koodinvaihtomerkit ovat pakenematta muuntamalla ne takaisin prosenttikoodatuista muodoistaan alkuperäisiin tekstimerkkeihin.
Miksi ASUS:lla kesti niin kauan korjata nämä bugit, sitä ei mainita yhtiön virallisessa neuvonnassa, mutta HTTP:n "pakokoodien" käsittely on olennainen osa mitä tahansa ohjelmistoa, joka kuuntelee ja käyttää web-URL-osoitteita.
Muut CVE-listatut viat korjattu
- CVE-2022-35401. Todennuksen ohitus. Erityisesti muodostettu HTTP-pyyntö voi johtaa täydelliseen järjestelmänvalvojan käyttöoikeuksiin laitteeseen. Hyökkääjän on lähetettävä sarja HTTP-pyyntöjä hyödyntääkseen tätä haavoittuvuutta. (Peruspisteet: 8.1 KORKEA.)
- CVE-2022-38105. Tietojen paljastaminen. Erityisesti muodostetut verkkopaketit voivat johtaa arkaluonteisten tietojen paljastamiseen. Hyökkääjä voi lähettää verkkopyynnön tämän haavoittuvuuden laukaisemiseksi. (Peruspisteet: 7.5 KORKEA.)
- CVE-2022-38393. Palvelunesto (DoS). Erityisesti muotoiltu verkkopaketti voi johtaa palvelun estoon. Hyökkääjä voi lähettää haitallisen paketin laukaistakseen tämän haavoittuvuuden. (Peruspisteet: 7.5 KORKEA.)
- CVE-2022-46871. Mahdollisesti hyödynnettävissä olevat bugit avoimessa lähdekoodissa
libusrsctp
kirjasto. SCTP tulee sanoista Stream Control Transmission Protocol. (Peruspisteet: 8.8 KORKEA.) - CVE-2023-28702. Suodattamattomat erikoismerkit URL-osoitteissa. Etähyökkääjä, jolla on normaaleja käyttöoikeuksia, voi hyödyntää tätä haavoittuvuutta komentojen lisäyshyökkäyksien suorittamiseen mielivaltaisten järjestelmäkomentojen suorittamiseksi, järjestelmän katkaisemiseksi tai palvelun katkaisemiseksi. (Peruspisteet: 8.8 KORKEA.)
- CVE-2023-28703. Puskurin ylivuoto. Etähyökkääjä, jolla on järjestelmänvalvojan oikeudet, voi hyödyntää tätä haavoittuvuutta suorittaakseen mielivaltaisia järjestelmäkomentoja, katkaistakseen järjestelmän tai lopettaakseen palvelun. (Peruspisteet: 7.2 KORKEA.)
- CVE-2023-31195. Istuntokaappaus. Arkaluonteisia evästeitä käytetään ilman
Secure
ominaisuusjoukko. Hyökkääjä voi käyttää väärää HTTP-verkkolinkkiä (salaamatonta) kaapatakseen todennustunnisteita, joita ei pitäisi lähettää salaamattomina. (EI PISTETTÄ.)
Ehkä merkittävin virhe tässä luettelossa CVE-2023-28702, komento-injektiohyökkäys, joka kuulostaa samalta kuin MOVEit bugeja jotka ovat olleet viime aikoina uutisissa.
Kuten selitimme MOVEit-virheen jälkeen, komentoparametri, joka lähetetään web-URL-osoitteessa, esimerkiksi pyyntö, jossa palvelinta pyydetään kirjautumaan sisään käyttäjänä. DUCK
, ei voida luovuttaa suoraan järjestelmätason komennolle kopioimalla sokeasti ja luotettavasti raakatekstiä URL-osoitteesta.
Toisin sanoen pyyntö:
https://example.com/?user=DUCK
…ei voida yksinkertaisesti muuntaa suoralla "kopioi ja liitä" -prosessilla järjestelmäkomennoksi, kuten:
checkuser --name=DUCK
Muussa tapauksessa hyökkääjä voi yrittää kirjautua sisään seuraavasti:
https://example.com/?user=DUCK;halt
…ja huijata järjestelmä suorittamaan komennon:
checkuser --name=DUCK;halt
…joka on sama kuin kahden alla olevan erillisen komennon antaminen peräkkäin:
checkuser --name=DUCK pysäyttää
…missä toisen rivin komento sammuttaa koko palvelimen.
(Puolipiste toimii komentojen erottimena, ei osana komentorivin argumentteja.)
Kaappausistunto
Toinen huolestuttava virhe on istunnon kaappauksen aiheuttama ongelma CVE-2023-31195.
Kuten luultavasti tiedät, palvelimet käsittelevät usein verkkopohjaisia kirjautumisia lähettämällä selaimellesi niin sanotun istuntoevästeen, joka osoittaa, että "sen, joka tietää tämän evästeen, oletetaan olevan sama henkilö, joka juuri kirjautui sisään".
Niin kauan kuin palvelin ei anna sinulle mitään näistä taikaevästeistä ennen kuin olet tunnistanut itsesi, esimerkiksi esittämällä käyttäjätunnuksen, vastaavan salasanan ja kelvollisen 2FA-koodin, hyökkääjän on tiedettävä kirjautumistietosi saada todennuksen alun perin kuin sinä.
Ja niin kauan kuin palvelin tai selaimesi eivät koskaan vahingossa lähetä taikaevästettä ei-TLS-salaamattoman, tavallisen vanhan HTTP-yhteyden kautta, hyökkääjä ei helposti pysty houkuttelemaan selaintasi huijaripalvelimelle, joka käyttää sen sijaan HTTP:tä. HTTPS:stä ja siten lukea evästeen siepatusta verkkopyynnöstä.
Muista, että selaimesi houkutteleminen huijariverkkotunnukseen, kuten http://example.com/
on suhteellisen helppoa, jos huijari voi väliaikaisesti huijata selaimesi käyttämään väärää IP-numeroa example.com
domain.
Mutta houkuttelee sinua https:/example.com/
tarkoittaa, että hyökkääjän on myös keksittävä vakuuttavasti väärennetty verkkovarmenne tarjotakseen vilpillisen palvelimen vahvistuksen, mikä on paljon vaikeampaa.
Tällaisten hyökkäysten estämiseksi evästeet, jotka ovat ei-julkisia (joko tietosuoja- tai käyttöoikeussyistä), tulisi merkitä. Secure
HTTP-otsikossa, joka lähetetään, kun ne on asetettu, kuten näin:
Set-Cookie: AccessToken=ASC4JWLSMGUMV6TGMUCQQJYL; Turvallinen
...eikä yksinkertaisesti:
Set-Cookie: AccessToken=ASC4JWLSMGUMV6TGMUCQQJYL
Mitä tehdä?
- Jos sinulla on viallinen ASUS-reititin (lista on tätä), korjaa mahdollisimman pian. Se, että ASUS jätti sen ikuisiksi ajoiksi saadakseen korjaustiedostot sinulle, ei tarkoita, että niiden asentaminen kestäisi niin kauan kuin haluat, varsinkin nyt, kun kyseessä olevat virheet ovat julkisia.
- Jos et pysty korjaamaan kerralla, estä kaikki saapuva pääsy reitittimeen, kunnes voit ottaa päivityksen käyttöön. Huomaa, että pelkkä HTTP- tai HTTPS-yhteyksien (verkkopohjaisen liikenteen) estäminen ei riitä. ASUS varoittaa nimenomaisesti, että kaikkia saapuvia verkkopyyntöjä voidaan käyttää väärin, joten jopa portin edelleenlähetys (esim. peleille) ja VPN-käyttö on estettävä kokonaan.
- Jos olet ohjelmoija, desinfioi syötteesi (jotta vältät komentojen lisäysvirheet ja muistin ylivuodot), älä odota kuukausia tai vuosia toimittaaksesi korjaustiedostoja asiakkaillesi, ja tarkista HTTP-otsikot varmistaaksesi, että käytät mahdollisimman turvallisia vaihtoehtoja. vaihdettaessa tärkeitä tietoja, kuten todennustunnuksia.
- SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
- EVM Finance. Hajautetun rahoituksen yhtenäinen käyttöliittymä. Pääsy tästä.
- Quantum Media Group. IR/PR vahvistettu. Pääsy tästä.
- PlatoAiStream. Web3 Data Intelligence. Tietoa laajennettu. Pääsy tästä.
- Lähde: https://nakedsecurity.sophos.com/2023/06/20/asus-warns-router-customers-patch-now-or-block-all-inbound-requests/
- :on
- :On
- :ei
- :missä
- $ YLÖS
- 1
- 12
- 15%
- 25
- 2FA
- 32
- 7
- 8
- 9
- a
- pystyy
- Meistä
- edellä
- absoluuttinen
- pääsy
- saatavilla
- Saavuttaa
- säädökset
- hallinnollinen
- neuvontapalvelut
- Jälkeen
- Ages
- Kaikki
- pitkin
- jo
- Myös
- aina
- an
- ja
- Kaikki
- omena
- käyttää
- OVAT
- perustelut
- noin
- AS
- oletettu
- At
- hyökkäys
- Hyökkäykset
- todennettu
- Authentication
- kirjoittaja
- auto
- välttää
- tietoinen
- takaisin
- background-image
- pohja
- BE
- koska
- ollut
- ennen
- alle
- sokeasti
- Tukkia
- tukossa
- reunus
- pohja
- selain
- Vika
- Bugs
- kiireinen
- mutta
- by
- CAN
- Kortit
- aiheutti
- keskus
- todistus
- merkki
- merkkejä
- tarkkailun
- asiakas
- koodi
- väri
- Tulla
- yritys
- Yrityksen
- verrattain
- komponentti
- tietokone
- liitäntä
- Liitännät
- sisältää
- ohjaus
- hallinnassa
- muunnetaan
- muuntaminen
- keksit
- kopiointi
- korruptio
- voisi
- Kurssi
- kattaa
- Valtakirja
- kriittinen
- Asiakkaat
- cve
- tiedot
- dDNS
- Palvelunesto
- laite
- Laitteet
- ohjata
- suoraan
- ilmitulo
- näyttö
- Häiritä
- do
- ei
- verkkotunnuksen
- Dont
- DOS
- alas
- kaksi
- e
- helpompaa
- helposti
- helppo
- myöskään
- Elektroniikka
- tarpeeksi
- varmistaa
- erityisesti
- Jopa
- EVER
- esimerkki
- vaihtamalla
- suorittaa
- teloitus
- odottaa
- Selittää
- selitti
- Käyttää hyväkseen
- hyödyntää
- avoin
- tosiasia
- Kuva
- filee
- Löytää
- Etunimi
- seurannut
- varten
- taotut
- muoto
- lomakkeet
- vilpillinen
- alkaen
- koko
- toiminnallisuus
- perus-
- Pelit
- saada
- Antaa
- tietty
- antaa
- grafiikka
- kahva
- Käsittely
- Olla
- otsikot
- korkeus
- HEX
- Korkea
- kaapata
- Holes
- Etusivu
- liihottaa
- http
- HTTPS
- tunnistettu
- if
- in
- sisältää
- sisältää
- Saapuva
- tiedot
- tuloa
- sen sijaan
- tulee
- osallistuva
- IP
- kysymys
- antaneen
- IT
- SEN
- itse
- Job
- vain
- Tietää
- tunnettu
- Lack
- kannettavat tietokoneet
- johtaa
- vasemmalle
- laillinen
- Vaikutusvalta
- Kirjasto
- pitää
- linja
- LINK
- Lista
- kirjattu
- hakkuu
- Kirjaudu sisään
- Pitkät
- pitkä aika
- taika-
- valmistaja
- monet
- Marginaali
- Merkitse
- matching
- asia
- max-width
- tarkoittaa
- merkitys
- välineet
- Muisti
- mainitsi
- ehkä
- kk
- eniten
- ASENNA
- paljon
- täytyy
- Naked Security
- Tarve
- tarvitaan
- tarpeet
- Eikä
- verkko
- Verkkotiedot
- verkostoituminen
- uutiset
- NIST
- Nro
- normaali
- merkittävä
- nyt
- numero
- of
- pois
- virallinen
- usein
- Vanha
- on
- kerran
- ONE
- avoimen lähdekoodin
- toiminta
- käyttöjärjestelmän
- Vaihtoehdot
- or
- alkuperäinen
- Muut
- ulos
- yli
- paketit
- parametri
- osa
- erityinen
- Salasana
- läikkä
- Merkit
- Paavali
- prosentti
- Suorittaa
- ehkä
- henkilö
- puhelimet
- Paikka
- tavallinen
- Platon
- Platonin tietotieto
- PlatonData
- Suosittu
- sijainti
- mahdollinen
- Viestejä
- mahdollinen
- estää
- estää
- yksityisyys
- oikeudet
- todennäköisesti
- prosessi
- Tuotteemme
- Ohjelma
- Ohjelmoija
- protokolla
- toimittaa
- tarjoaa
- julkinen
- julkaistu
- kysymys
- nopeammin
- alue
- alainen
- luokitus
- raaka
- Lue
- syistä
- sai
- ennätys
- tarkoitettuja
- suhteellinen
- julkaistu
- kaukosäädin
- etäkäyttö
- Raportit
- edustettuina
- pyyntö
- pyynnöt
- edellyttää
- arviot
- oikein
- reititin
- juoksu
- s
- sama
- sanoa
- pisteet
- Toinen
- turvallinen
- turvallisuus
- lähettää
- lähettäminen
- lähettää
- sensible
- lähetetty
- erillinen
- Järjestys
- Sarjat
- servers
- palvelu
- Palvelut
- Istunto
- setti
- LAIVA
- shouldnt
- sulkeutuessa
- puoli
- merkki
- samankaltainen
- yksinkertaisesti
- single
- So
- Tuotteemme
- vankka
- jonkin verran
- Joku
- pian
- Tila
- tilat
- erityinen
- seisoo
- Alkaa
- virta
- onnistunut
- niin
- tuki
- SVG
- järjestelmä
- ottaa
- kertoo
- että
- -
- heidän
- Niitä
- itse
- sitten
- Nämä
- ne
- tätä
- aika
- että
- tokens
- liian
- otti
- ylin
- liikenne
- siirtyminen
- läpinäkyvä
- laukaista
- yrittää
- kaksi
- asti
- toivottuja
- Päivitykset
- URL
- us
- käyttää
- käytetty
- käyttäjä
- käyttötarkoituksiin
- käyttämällä
- validointi
- kautta
- VPN
- haavoittuvuuksia
- alttius
- Haavoittuva
- odottaa
- odotus
- Herätä
- haluta
- varoittaa
- Tapa..
- we
- verkko
- Web-palvelin
- Web-pohjainen
- viikko
- tunnettu
- kun
- aina kun
- joka
- KUKA
- koko
- leveä
- Laaja valikoima
- leveys
- Villi
- halukas
- with
- ilman
- sanoja
- olisi
- kirjoittaa
- kirjallinen
- Väärä
- vuotta
- Voit
- Sinun
- itse
- zephyrnet