IT-sikkerhetsselskapet Defense Code sier de har oppdaget en såkalt nulldagssårbarhet, altså et tidligere ukjent hull, i rutere fra Ciscos heleide datterselskap Linksys.
Med over 70 millioner solgte rutere[1] er Linksys verdens største leverandør av nettverksutstyr for hjemmemarkedet.
Utnyttelse av sårbarheten gir full administrativ fjerntilgang og rammer alle versjoner av ruterens fastvare fra nyeste versjon 4.30.14 og eldre. Det hevder selskapet i en kunngjøring.
- For flere måneder siden kontaktet vi Cisco og ga dem en detaljert beskrivelse, sammen med konseptbevis på hvordan sårbarheten kan utnyttes. De svarte at sårbarheten allerede er fjernet i den siste versjonen av fastvaren, men det stemmer ikke, skriver de.
Selskapet har publisert en videosnutt på Youtube som demonstrerer et angrep. I demonstrasjonen går det tydelig fram at de skaffer seg full administrativ tilgang til utstyret, men angrepet blir utført på lokalnettet, altså bak en eventuell brannmur.
Hva som er fjerntilgang i denne sammenhengen er ganske vesentlig, men blir ikke nærmere forklart. Forhåpentligvis betyr det at sårbarheten ikke lar seg utnytte direkte fra internett, men det virker uklart.
Flere detaljer er ikke utgitt, da Defense Code sier de holder tilbake opplysningene i to uker av hensyn til egne retningslinjer for slike avsløringer.
Bekrefter dialog, men ikke sårbarhet
The Register har fått følgende uttalelse fra Cisco i sakens anledning:
- Linksys tar sikkerheten i våre produkter og kundenes hjemmenettverk svært alvorlig. Selv om vi kan bekrefte å ha ført dialog med Defense Code, så har vi ingen ny sårbarhetsinformasjon å dele med kundene våre, verken for WRT54GL eller andre rutermodeller. Vi fortsetter å evaluere ny informasjon etter hvert som det kommer og vil informere kundene våre med hensiktsmessige oppdateringer.
Rett før jul ble kom det meldinger om at Cisco vurderer å kvitte seg med Linksys, virksomheten de kjøpte for en halv milliard dollar for ti år siden.
Les også:
- [22.04.2014] «Feilfiks» skjuler bakdør
- [06.01.2014] Reinkarnerer ikonisk ruter
- [06.01.2014] – Gapende hull i rutere
- [17.12.2012] – Kvitter seg med Linksys
- [06.07.2012] - Gjør ruteren til en ubrukelig murstein
- [21.03.2003] Cisco kjøper Linksys for hjemmemarkedets skyld
