Por qué los detenedores de routers Edimax deben actualizar su firmware (Pagina 1) / Otras marcas / Foro Wifi-libre.com

El libre pensamiento para un internet libre

No estas registrado.     

Anuncio

Wifi-highpower.es es distribuidor oficial de Alfa Network

#1 08-12-2015 03:20:36

kcdtv
Administrator

Registrado: 14-11-2014
Mensajes: 2,069

Por qué los detenedores de routers Edimax deben actualizar su firmware

Varios firmwares de Edimax tenían mas de un falló...
¡Actualización urgente requerida!

glop_1.jpg

Michael WINSTEAD ha librado un PDF de 17 paginas dónde desvela varias brechas y hace publica toda su correspondencia con Edimax respecto a estas brechas.

  Un historia con un principio y un final feliz visto que los de Edimax respondieron a Michael y que colaboraron juntos para que salgan unas versiones parcheadas de los firmwares vulnerables.
  Lo de actualizar el firmware de su router no es algo que hacemos cada día... Así que si tienes un router Edimax... ¡Actualiza tu firmware!  wink   

Estos son los firmwares afectados : glop_2.jpg

  Una de las vulnerabilidades a destacar es la del "evil upgrade".
Se puede aprovechar la falta de https para utilizar http://www.planex.co.jp/ y instalar un actualización malvada.

glp_3.jpg

Incluso se puede instalar un firmware retocado falseando la identidad del sitio oficial. tongue  (2015 y no tener sus updates en un sitio https pam )

  Otro falló de mucho peligro es la capacidad de inyectar comandos por url...
Para conseguirlo hay que poner los comandos después una doble barra  "||" en una petición POST

  El WPS es un peligro.
                      ... y no solo porque permite obtener la llave WPA big_smile

glop_4.jpg

¡Se pueden usar los comandos iwpriv y poner comandos extras a ejecutar en el lugar dónde deberíamos poner el PIN! lol

  Michael se puso en contacto con Edimax el 7 de junio 2015 para reportar las brechas.
Los firmwares correctamente parcheados salieron el 14 de octubre 2015
  Hay que darles créditos a los Edimax por su forma de llevar el assunto.
  Podemos ver que han respondido muy rápido y no es desgraciadamente siempre así.

Pero, siendo objetivos, no han sido muy eficaces.
  Podemos leer que les ha costado entender las brechas, no sabían manejar herramientas básicas como curl...
En un primer tiempo, como no conseguían explotar las brechas, negaron su existencia.
  A este momento Michael ha tenido que "amenazarles" con un full disclosure para que Edimax se ponga las pilas...

blop_6.jpg

¡Milagro!...
...El 17  Mr Cheng le pide de esperar hasta unos dias mas y el 20 recibe un mail pidiendo de aplazar el full disclosure.
El mail lleva una hoja de ruta clara para arreglar todas las brechas... 

blop_7.jpg

  Y es casi dos meses después ( 14 octubre ) que han sacado los firmwares corregidos.
Cuatro meses en total para arreglar unas brechas... es mucho tiempo el "culo aire".
  Pero no vamos a quejarnos mucho visto lo que suelen hacer otros fabricantes.
  Como Huawei...
  Los de Huawei han encontrado la respuesta perfecta : "¡Fin de ciclo!"
  Las palabras mágicas...
  Es raro : Parece que las brechas de seguridad salen siempre justo cuando empieza "el fin de ciclo del producto"
Así que te  "quedas el culo aire" para siempre con tu firmware Huawei sin actualizaciones porque es "¡Fin de ciclo!"

Desconectado

Anuncio

Wifi-highpower.es es distribuidor oficial de Alfa Network

Pie de página

Información del usuario

Ultimo usuario registrado: evam
Usuarios registrados conectados: 0
Invitados conectados: 5

Estadisticas de los foros

Número total de usuarios registrados: 357
Número total de temas: 621
Número total de mensajes: 4,272

Máx. usuarios conectados: 45 el 12-04-2016 12:02:20