Softwarové chyby Realtek Wi-Fi modulů ohrožují více než milion IoT zařízení

by | Srp 17, 2021 | Bezpečná domácnost, Nejnovější | 0 comments

Firma Realtek varuje před zranitelnostmi zabezpečení ve třech SDK (software development kit) u Wi-Fi modulů, které jsou instalovány do více než 200 IoT zařízení vyráběných nejméně 65 dodavateli.

Chyby ovlivňují verze Realtek SDK v2.x, Realtek „Jungle“ SDK v3.0/v3.1/v3.2/v3.4.x/v3.4T/v3.4T-CT a Realtek „Luna“ SDK do verze 1.3.2. Společnost přiznává, že zranitelnosti mohly být zneužity útočníky k ohrožení cílového zařízení a spuštění libovolného kódu s nejvyšší úrovní oprávnění.

Jedná se konkrétně o:

  • CVE-2021-35392 (skóre CVSS: 8.1) – Chyba zabezpečení přetížením vyrovnávací paměti na serveru ‘WiFi Simple Config’ z důvodu nebezpečného vytváření zpráv typu SSDP NOTIFY
  • CVE-2021-35393 (skóre CVSS: 8.1) – Chyba zabezpečení přetížením zásobníku na serveru ‘WiFi Simple Config’ kvůli nebezpečnému analyzování zpětného UPnP SUBSCRIBE/UNSUBSCRIBE
  • CVE-2021-35394 (CVSS skóre: 9,8) – Více zranitelností přetížením vyrovnávací paměti a zranitelnost při vkládání libovolného příkazu v nástroji MP ‘UDPServer’
  • CVE-2021-35395 (CVSS skóre: 9,8) – Několik zranitelností přetížením vyrovnávací paměti v HTTP ‘boa serveru’ kvůli nebezpečným kopiím některých příliš dlouhých parametrů

Zranitelnosti ovlivňují více druhů zařízení od síťových uzlů (brán), cestovních routerů, WiFi opakovačů, IP kamer až po chytré hračky. Konkrétně se to týká značek:

  • AIgital
  • ASUSTek
  • Beeline
  • Belkin
  • Buffalo
  • D- Link
  • Edimax
  • Huawei
  • LG
  • Logitec
  • MT-Link
  • Netis
  • Netgear
  • Occtel
  • PATECH
  • TCL
  • Sitecom
  • ZTE
  • Zyxel

Stejně tak je zranitelná vlastní řada routerů Realtek.

“Evidujeme 198 unikátních otisků zařízení s odpovědí přes UPnP. Odhadujeme, že se průměrně prodalo 5 000 kopií každého z nich. Celkový počet zranitelných zařízení se tak blíží k milionu kusů,” uvedli vědci. Přestože byly pro sadu Realtek „Luna“ SDK vydány opravy ve verzi 1.3.2a, uživatelům sady SDK „Jungle“ doporučujeme backportovat opravy vydané Realtekem.

IoT Inspector, německý specialista na kybernetickou bezpečnost, který zranitelnosti objevil se nechal slyšet, že chyby ve zdrojovém kódu Realtek zůstaly bez povšimnutí po celou dekádu. Společnost upozornila Realtek již v květnu tohoto roku.

„Výrobci s přístupem ke zdrojovému kódu Realtek […] dostatečně neprověřili dodavatelský řetězec, [a] problémy neřešili. Nadále distribuovali zranitelnosti na stovky tisíc zákazníků, čímž je nechávají zranitelné vůči útokům,“ uvádí experti z IoT Inspector. 

Autor: Ondřej Vanáč, spoluzakladatel CyberBlog.cz

Zdroj: The Hacker News

Foto: Pixabay

0 Comments
Submit a Comment
Jaký je rozdíl mezi zabezpečení aplikace a zabezpečením API?

Jaký je rozdíl mezi zabezpečení aplikace a zabezpečením API?

S nástupem digitální transformace a rostoucí závislostí podniků na digitálních službách je zabezpečení aplikací a rozhraní API (Application Programming Interfaces) důležitější než kdy dříve. S ohledem na to jsou zabezpečení aplikací a API dvě zásadní součásti komplexní bezpečnostní strategie. Využitím těchto postupů se organizace mohou chránit před škodlivými útoky a bezpečnostními hrozbami a především zajistit, aby jejich data zůstala v bezpečí.

„AI přítelkyně” jsou noční můrou pro soukromí

„AI přítelkyně” jsou noční můrou pro soukromí

Romantičtí chatboti shromažďují obrovské množství dat, poskytují nejasné informace o tom, jak je používají, používají slabou ochranu heslem a nejsou transparentní, tvrdí nový výzkum společnosti Mozilla.

4 způsoby, jak hackeři pomocí sociálního inženýrství obcházejí MFA

4 způsoby, jak hackeři pomocí sociálního inženýrství obcházejí MFA

Pokud jde o zabezpečení přístupu, jedno doporučení vyniká nad ostatními: vícefaktorové ověřování (MFA). Vzhledem k tomu, že samotná hesla jsou pro hackery jednoduchou prací, poskytuje MFA zásadní vrstvu ochrany proti narušení. Je však důležité si uvědomit, že MFA není bezchybné. Lze ho obejít, a často se tak i děje.

Jak být anonymnější online

Jak být anonymnější online

Na internetu jste neustále monitorováni. Hlavním viníkem je často reklamní průmysl a technologické společnosti, které jsou na reklamě silně závislé, aby vydělaly peníze ( např. Google a Meta). Na webu vás mohou sledovat neviditelné trackery a cookies vložené do webových stránek a aplikací. Přečtěte si návod, jak se stát více anonymním na internetu.

Nejhorší hacky roku 2023

Nejhorší hacky roku 2023

Minulý rok byl plný ničivých kybernetických útoků po celém světě, od ransomwarových útoků na kasina až po státem sponzorované narušení kritické infrastruktury.

Softwarové chyby Realtek Wi-Fi modulů ohrožují více než milion IoT zařízení