Sus módems inalámbricos D-Link y Comba podrían estar filtrando sus contraseñas. Esto es lo que puedes hacer.

D-Link Comba Routers Credential Leaking Vulnerabilitiy

Eche un vistazo a los comentarios en los artículos dedicados a las vulnerabilidades, y verá que de vez en cuando, las personas tienden a molestarse por la cantidad de atención que reciben algunos agujeros de seguridad. De hecho, en muchos casos, explotar las vulnerabilidades es tan difícil que los escenarios de ataque presentados por los investigadores no parecen especialmente plausibles.

Tome como ejemplo las vulnerabilidades de fuga de credenciales que los investigadores de Trustwave encontraron en los enrutadores D-Link y Comba. Las fallas definitivamente están ahí, pero requieren acceso a la red o una configuración de red que haga que el sistema de administración basado en web de su enrutador sea accesible desde cualquier lugar. Incluso si se cumple uno de estos requisitos, automatizar el ataque y golpear a muchas personas a la vez no será fácil, lo que significa que a menos que sea un objetivo de alto perfil, pocos atacantes estarían dispuestos a aprovechar estos agujeros de seguridad particulares. Dicho esto, no se debe ignorar ninguna falla de seguridad, no importa cuán difícil de explotar. Los informes de los investigadores siempre deben tomarse en serio, y las vulnerabilidades deben manejarse con cuidado y transparencia. Desafortunadamente, en este caso particular, la reacción de los vendedores dejó a los expertos en seguridad un poco decepcionados.

Cómo su módem inalámbrico podría estar filtrando sus contraseñas

Todas las vulnerabilidades involucraban el sistema de administración basado en web de los enrutadores inalámbricos. En el caso del DSL-2875AL de D-Link, los investigadores pudieron descargar un archivo de configuración que almacenaba las credenciales de inicio de sesión del dispositivo. El nombre de usuario y la contraseña estaban disponibles en texto plano y el archivo se podía descargar sin ninguna forma de autenticación.

DSL-2875AL, así como otro modelo D-Link, DSL-2877AL, vienen con otra vulnerabilidad. El nombre de usuario y la contraseña que utiliza el usuario para conectarse a su ISP se almacenan dentro del código fuente del documento "index.asp" que aparece cuando se ingresa la IP del enrutador en la barra de direcciones del navegador. Una vez más, un atacante no necesita autenticación para acceder a la información confidencial. Solo necesitan saber dónde buscar.

Los defectos que los investigadores descubrieron en los enrutadores de Comba eran bastante similares. Trustwave se dio cuenta de que una solicitud no autenticada a una URL específica en una red configurada con un controlador de acceso Wi-Fi Comba AC2400 les daría acceso a un archivo de configuración que almacena los nombres de usuario y contraseñas como hash MD5 .

En el modelo AP2600-I de Comba, encontraron no una, sino dos formas de robar los datos de inicio de sesión. Otra solicitud no autenticada daría como resultado la descarga de una base de datos SQLite que almacena el nombre de usuario y la contraseña en texto sin formato. Las mismas credenciales de inicio de sesión, en forma hash MD5, también estaban disponibles en el código fuente de la página de inicio de sesión.

Los vendedores no reaccionan a las vulnerabilidades tan bien como deberían

Tan pronto como Trustwave descubrió las vulnerabilidades, se pusieron en contacto con D-Link y Comba. Es justo decir que la reacción de los vendedores no fue exactamente ejemplar.

Comba hizo caso omiso de los informes y no ha dicho nada sobre el problema. Sus enrutadores siguen siendo vulnerables a los ataques descritos anteriormente, y si los usa, debe tener esto en cuenta. Para minimizar la amenaza, asegúrese de que su red esté configurada correctamente y que solo se estén ejecutando los servicios que necesita.

D-Link respondió a los informes de Trustwave, pero en lugar de una resolución rápida y eficiente, todo se convirtió en una farsa. Trustwave inicialmente le dio a D-Link un plazo de 90 días antes de la divulgación pública de las vulnerabilidades. Sin embargo, en un momento, el fabricante del enrutador les dijo a los investigadores que el departamento de I + D no podría solucionar el problema antes de la fecha límite. Trustwave mostró cierta comprensión y proporcionó "una extensión larga", pero durante el mismo, D-Link simplemente dejó de comunicarse con los investigadores.

Días antes de que Trustwave publicara sus hallazgos, sin embargo, D-Link escribió para decir que los usuarios pueden parchear las vulnerabilidades descargando versiones más nuevas del firmware para DSL-2875AL y DSL-2877AL .

Después de que iTnews.com.au escribió sobre las vulnerabilidades, un portavoz de D-Link dijo que los agujeros se repararon en 2016 y que los investigadores de Trustwave los encontraron solo porque los dispositivos que estaban probando funcionaban con firmware antiguo. Luego, los investigadores preguntaron con razón por qué no fueron informados de todo esto inmediatamente después de revelar sus hallazgos.

Es bueno saber que las vulnerabilidades han sido parcheadas, y las personas que usan enrutadores D-Link deben asegurarse de haber actualizado su firmware a la última versión. Sin embargo, la forma en que la compañía respondió a los informes aún estaba lejos de ser perfecta. En cuanto a la reacción de Comba (o la falta de ella), le dejaremos sacar sus propias conclusiones.

September 17, 2019
Cargando...

Cyclonis Backup Details & Terms

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager Details & Terms

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.