关键漏洞允许攻击者绕过认证。安全研究人员已经发现在光纤宽带路由器，使黑客绕过安全和接管装置的缺陷。
安全研究人员已经发现在光纤
广州电信宽带路由器，使黑客绕过安全和接管装置的缺陷。
在一篇博客文章中，研究人员在VPN导师发现，使用许多路由器将用户连接到光纤广州电信宽带或技嘉无源光网络（GPON），包含一个漏洞（CVE-2018-10561），它允许攻击者绕过所有认证装置。与此认证旁路，研究人员还能够揭开另一个命令注入漏洞（CVE-2018-10562）和在该设备上执行的命令。
第一个漏洞利用了具有缺陷的设备的认证机制。该漏洞允许任何攻击者绕过所有验证。的缺陷可以与HTTP服务器，认证时检查特定的路径被发现。这允许攻击者绕过认证使用一个简单的技巧任何端点，根据研究人员。
他们补充说，通过追加？图像/的URL，攻击者可以绕过端点。
此作品在两个HTML页面和GponForm /。
“虽然翻翻设备功能，我们注意到诊断端点包含ping和traceroute命令。它并没有花太多弄清楚该命令可以由主机参数注入。由于路由器保存在/ tmp目录平的结果，并当用户再次访问/diag.html传送到用户，这是相当简单，执行命令和检索其与认证绕过漏洞输出，”他们补充道。
根据附带的视频，围绕1054692 GPON设备可以在物联网的搜索引擎初段被发现。所有经研究人员测试路由器含有相同的缺陷。有缺陷的路由器约有一半是位于墨西哥与哈萨克斯坦和越南发现了一个相当大的比例。受影响的设备是由一家韩国公司通过茶山网络的名义作出。
VpnMonitor说，它使信息公开之前接触过茶山但还没有回应。
“因为这么多的人使用这些类型的路由器，这个漏洞可能导致整个网络的妥协，”研究人员说。的缺陷能够使黑客窥视用户或任何连接的设备。犯罪分子还能够路由他们的活动，通过受损设备。
研究人员建议，用户应该检查你的路由器使用GPON网络的，要知道，GPON路由器可以被黑客入侵并加以利用，并联系他们的ISP，看看他们能做些什么来修复错误。
网络安全公司高科桥的CEO伊利亚Kolochenko，告诉SC媒体英国，不幸的是，许多网络设备，从安全摄像头，路由器很容易在他们的web界面的关键漏洞。
“许多厂家完全忽视管理界面的安全性，从而为他们的用户巨大的风险。更糟的是，一些设备甚至没有任何更新机制，使他们几乎无法使用一次高危漏洞被发现，”他说。
“其他人都相当普通用户复杂的更新过程，并不出所料很少有客户有自己的固件up2date的。用户应确定自己的家庭路由器和其他连接设备是从外部访问，并保持其固件的up2date只要有可能。”
肖恩·纽曼，在Corero网络安全产品管理总监告诉SC媒体英国，这可能是新的固件版本会发出来解决这些漏洞，但不能保证，因为制造商往往对这些类型的产品生命周期短和迅速转移到开发新车型。
“如果一个修复程序被释放，还有就是有多少百万加路由器实际上将升级到新版本的问题！ - 经验说，不是很多。”他说。
“即使他们意识到这个问题，路由器的业主甚至可能不能够做软件升级，作为服务提供商，其提供他们通常会锁定用户界面的一部分，这样的话，那将是依赖服务供应商自己做，这将是一项艰巨的任务“。
(责任编辑：admin)
