Onderzoekers: Linksys-lek treft ook Asus, Cisco, TP-Link, Zyxel en Netgear
Het beveiligingsprobleem dat werd aangetroffen in de populaire WRT54GL-router van Linksys, is ook in veel andere routers aanwezig. Het lek zit in de upnp-software van Broadcom. Tientallen miljoenen routers zouden kwetsbaar zijn, beweren de onderzoekers die het probleem ontdekten.
Halverwege januari maakten onderzoekers van beveiliginsbedrijf DefenseCode bekend dat de populaire WRT54GL-router op afstand zou zijn te kraken. Naar nu blijkt is het probleem groter dan gedacht, want ook routers van andere merken zijn kwetsbaar. Routers van onder meer Asus, Cisco, TP-Link, Zyxel en Netgear zouden zijn getroffen, maar om welke modellen het gaat, is onduidelijk. Volgens de onderzoekers zijn 'tientallen miljoenen' routers kwetsbaar voor het beveiligingsprobleem.
Het probleem bevindt zich in universal plug and play-software van Broadcom. Upnp maakt het mogelijk om automatisch andere apparaten op een netwerk te ontdekken. Het beveiligingsprobleem stelt aanvallers in staat om op afstand het geheugen van een router uit te lezen en eigen code uit te voeren, zonder dat authenticatie vereist is. Volgens de onderzoekers is het lek makkelijk te misbruiken, doordat veel routers hun upnp-interface niet afschermen voor de rest van het internet. Daardoor zouden aanvallers van buitenaf een router kunnen aanvallen.
DefenseCode heeft contact opgenomen met een aantal fabrikanten, maar zegt niet te weten hoe lang het duurt voordat alle routers zijn gepatcht. Het bedrijf heeft een proof of concept ontwikkeld, maar vanwege de ernst van het lek geeft het bedrijf die niet vrij. Het nieuws komt twee dagen nadat beveiligingsonderzoekers van een ander bedrijf fouten in de upnp-standaard vonden die routers kwetsbaar maken voor aanvallen van buitenaf, maar voor zover bekend gaat het om twee losstaande problemen.
Reacties (64)
De lijst met Routers die kwetsbaar of mogelijk kwetsbaar zijn, zijn te vinden op deze lijst.
http://wiki.openwrt.org/toh/start
Zoeken doe je via het hoofdmenu en daarna via de zoekfunctie van de browser.
PDF-docu van Defensecode.
http://www.defensecode.co...com_Security_Advisory.pdf
http://wiki.openwrt.org/toh/start
Zoeken doe je via het hoofdmenu en daarna via de zoekfunctie van de browser.
PDF-docu van Defensecode.
http://www.defensecode.co...com_Security_Advisory.pdf
Daarmee suggereer je dat alle routers die te flashen zijn met open-wrt vatbaar zijn voor dit lek?
@immetjes. Bedankt voor de uitleg helaas kan ik je reactie om mijn reactie niet +2 modden!
@immetjes. Bedankt voor de uitleg helaas kan ik je reactie om mijn reactie niet +2 modden!
[Reactie gewijzigd door BUR op vrijdag 1 februari 2013 09:37]
Nee, op genoemde site kan je makkelijk je router opzoeken en zien of er een Broadcom chip in zit.
Ik heb een TP-LINK TL-WR1043ND met Atheros chip (de meeste TP-LINK routers hebben een Atheros chipset) en voor mij dus geen probleem.
En als je nu eens het PDF document had gelezen had je gezien dat ze daar ook de http://wiki.openwrt.org/toh/start link geven
Edit: Iets te aggresief, niet zo bedoeld.
Ik heb een TP-LINK TL-WR1043ND met Atheros chip (de meeste TP-LINK routers hebben een Atheros chipset) en voor mij dus geen probleem.
En als je nu eens het PDF document had gelezen had je gezien dat ze daar ook de http://wiki.openwrt.org/toh/start link geven
Edit: Iets te aggresief, niet zo bedoeld.
[Reactie gewijzigd door immetjes op vrijdag 1 februari 2013 10:20]
Hmm, bij mijn Router staat een ? bij chip! D-Link DIR-855...
Op zich hou ik formware updates wel bij, dus ik heb de illusie dat ik daarmee veilig ben
Op zich hou ik formware updates wel bij, dus ik heb de illusie dat ik daarmee veilig ben
dir855 maakt gebruik van ubicom soc
'tientallen miljoenen' routers kwetsbaar voor het beveiligingsprobleem.
Is dit nou het grootste lek ooit ontdekt in routers of zie ik dat verkeerd...?
Kan iemand mij vertellen hoe je de Upnp-interface afschermt, of is dit per router afhankelijk?
Is dit nou het grootste lek ooit ontdekt in routers of zie ik dat verkeerd...?
Kan iemand mij vertellen hoe je de Upnp-interface afschermt, of is dit per router afhankelijk?
[Reactie gewijzigd door Foegol op vrijdag 1 februari 2013 09:16]
Of kunnen we simpelweg gewoon upnp disablen? Volgens mij gebruik ik het niet eens...
Spelcomputers vaak wel, de 360 en PS3 leunen beiden op uPnP. Disablen van het protocol houdt in dat je handmatig poorten moet gaan openzetten.
Daarom staat bij mij uPnP standaard uit op alle apparaten. Het is al heel lang bekend dat er beveiligingsrisico's (kunnen) zijn met uPnP.Spelcomputers vaak wel, de 360 en PS3 leunen beiden op uPnP. Disablen van het protocol houdt in dat je handmatig poorten moet gaan openzetten.
Laten we eerlijk zijn: elke service die er voor zorgt dat je firewall automatisch poorten open zet zonder dat je daar ook maar iets voor hoeft te doen is een beveiligingslek op zich.
Beveiligingsproblemen met uPnP bestonden jaren geleden ook al. Dus daarom zet ik het al jaren overal uit. Ook allerlei andere 'handige' features van bepaalde merken elkaar te laten herkennen zet ik uit.
Bij sommige apparaten is maar weinig in te stellen, dus ik weet niet of die een uPnP hebben ingebouwd.
Bij sommige apparaten is maar weinig in te stellen, dus ik weet niet of die een uPnP hebben ingebouwd.
Je begrijpt geloof ik niet hoe UPnP werkt.Laten we eerlijk zijn: elke service die er voor zorgt dat je firewall automatisch poorten open zet zonder dat je daar ook maar iets voor hoeft te doen is een beveiligingslek op zich.
Niet als dit alleen van binnenuit kan gebeuren - als je aanvaller binnen is, dan zijn dichte poorten schijnveiligheid.
In principe is handmatig poorten openzetten veel onveiliger.
[Reactie gewijzigd door Dreamvoid op vrijdag 1 februari 2013 11:02]
Dat ben ik niet met je eens.In principe is handmatig poorten openzetten veel onveiliger.
Als je uPnP aan hebt staan weet je niet welke poorten open staan. Dat wil zeggen, dat kun je wel inzien, maar dat controleer je niet elk moment van de dag. Op het moment dat je zelf handmatig poorten open zet, weet je precies welke poorten open staan en waarna deze verwijzen. Je zet als je het goed doet niet een poort wagenwijd open, maar laat een poort specifiek verwijzen naar een bepaalde service o.i.d.
In dat laatste geval weet je dus precies wat er open staat en waar naartoe en dat kun je dan ook heel specifiek monitoren en weet je waar je risico's loopt (al dan niet bewust).
Ik zet, indien er geen goede documentatie voorhanden is, uPnP somd tijdelijk aan om te zien welke poorten geopend worden door een specifiek stuk hardware\software. Deze poorten zet ik vervolgens handmatig open en daarna zet ik uPnP weer uit. Op die manier weet ik exact welke poorten open staan en loop ik niet de kans dat één of ander stuk soft- of hardware allerlei poorten openzet zonder dat ik het weet.
Het enige nadeel van het zelf open zetten van poorten is dat je iets meer weet moet hebben van je router (hoe zet je poorten open, welke protocollen, services, etc.). Als je het goed doet en je router functioneert een beetje redelijk, dan gaan de handmatig geconfigureerde poorten pas 'open' als er specifiek bij aangeklopt wordt en het aankloppen voldoet aan de ingestelde criteria. Het wil niet zeggen dat de poorten altijd en continue maar open staan.
Het open zetten van poorten is denk ik ook niet de juiste term. Je geeft specifiek toegang tot bepaalde poorten, ze staan niet open en geven niet zomaar toegang tot alles.
Het enige voordeel dat uPnP levert is dat het voor de consument veel eenvoudiger is om apparaten in gebruik te nemen en ze geen kennis hoeven te hebben van netwerkprotocollen, poorten, etc. Maar daardoor is het in essentie dus ook veel onveiliger.
Als je aanvaller eenmaal binnen is, heb je helemaal geen veiligheid meer. Het verhaal met poorten en firewalls is juist bedoeld om de aanvaller buiten te houden, of op zijn minst, gecontroleerd en beperkt binnen te laten.als je aanvaller binnen is, dan zijn dichte poorten schijnveiligheid.
[Reactie gewijzigd door Killer op vrijdag 1 februari 2013 11:35]
Dat weet je niet. Het veronderstelt namelijk ook dat je netjes alle poorten weer sluit zodra de client applicatie uit staat (doet niemand) en dat bij verandering van IP adres, de port meeverhuist (doen mensen ook niet zo snel). Het is alleen veiliger als je veronderstelt dat een perfecte beheerder continu de portforwarding in de gaten houdt en beheert. In de consumentenpraktijk gebeurt dat niet, en dan krijg je dus de ellende dat als iemand ooit een SSH poort geforward heeft naar zijn Linux bak met 192.168.1.234, die port voor eeuwig in de router geforward wordt. Zodra iemand drie jaar later met een kwetsbare Android telefoon dat IP adres krijgt toegewezen, bam gehacked.Op het moment dat je zelf handmatig poorten open zet, weet je precies welke poorten open staan en waarna deze verwijzen.
[Reactie gewijzigd door Dreamvoid op vrijdag 1 februari 2013 16:00]
port triggering lost ook dat op mits je router dat heeft
[Reactie gewijzigd door benedictuz op vrijdag 1 februari 2013 18:03]
Nee dat is het niet, alleen al om het simpele voorbeeld dat je dan tenminste weet wat er precies open staat en waarom.In principe is handmatig poorten openzetten veel onveiliger.
Op het moment dat je het instelt ja. Drie jaar later allang niet meer, maar die regel staat er nog.
Xbox 360 in de DMZ zetten en UPnP uitschakelen.
Zeker een optie. Echter hebben er velen ook een PS3, en je kunt meestal maar 1 apparaat in de DMZ zetten.
Ik had uPnP altijd uitstaan. Draai OpenWRT, heb geen poorten geforward en kan m'n PS3 gewoon online met MW3, voice ect gebruiken.
Ik heb vorige week toevallige uPnP aangezet om eens naar het verschil te kijken. Kan niets vinden. Misschien dat je wat vaker Host bent met MW3.
Ik heb vorige week toevallige uPnP aangezet om eens naar het verschil te kijken. Kan niets vinden. Misschien dat je wat vaker Host bent met MW3.
Als je een netgear router heb heeft die een menu met service blokkeren,
soort ingebouwde firewall poort 1900 UDP en 5000 UDP dichtzetten schakel je UPNP uit.
soort ingebouwde firewall poort 1900 UDP en 5000 UDP dichtzetten schakel je UPNP uit.
aangezien de web-GUI van zowat alle routers weer anders is, lijkt me dit redelijk device-afhankelijk. maar ik geloof dat het in mijn Router wel kán. probeer gewoon even wat te zoeken naar UPNP in je routertje. wie weet.
In mijn Zyxel router kan ik aanvinken of ik uPNP ook over het WAN wil laten lopen. Staat standaard uit en als ik het aanvink krijg je een waarschuwing.
Ga er vanuit dat zolang ik die uit laat staan er geen probleem is.
Ga er vanuit dat zolang ik die uit laat staan er geen probleem is.
Dit is allezins geen klein lek. Of het het grootste is is nog maar de vraag.
Maar als antwoord op je vraag: In de meeste routers kan je uPNP gewoon afvinken. Een reboot zal nadien wel nodig zijn. Voor je eraan begint hou er wel rekening mee dat sommige van je apparatuur hier misschien gebruikt van maakt.
Als nadien iets niet meer werkt kan het zijn dat je manueel poorten moeten gaan configureren.
Maar als antwoord op je vraag: In de meeste routers kan je uPNP gewoon afvinken. Een reboot zal nadien wel nodig zijn. Voor je eraan begint hou er wel rekening mee dat sommige van je apparatuur hier misschien gebruikt van maakt.
Als nadien iets niet meer werkt kan het zijn dat je manueel poorten moeten gaan configureren.
Hmm, nadat ik deze week dit nieuws heb gezien probeerde ik in mijn router te komen, maar iemand had de wachtwoord veranderd... En dit terwijl ik daarvoor nog alles had veranderd zowel de SSID als de wachtwoord voor de Wifi als de wachtwoord van de router.
Heb hem dus moeten resetten en gebruik nu alleen maar kabel
wifi staat nu uit totdat ik een kooi van farraday in mijn kamer ga bouwen 
met de router erin 
. Het is vreselijk niet eens je eigen verbinding te kunnen vertrouwen, ik had notabene zelfs macadres whitelisting met alleen 2 apparaten erin.
Ik weet niet hoe ze het precies hebben geflikt, want mijn wachtwoorden zijn zo complex mogelijk en van maximale lengte.
edit: Neeh, ik gebruikte juist WPA2, maar dat was dus niet genoeg.
@blurryilluzion: groupkey renewal zal ik even eens onderzoeken wat die precies doet . Toch bedankt voor je input.
Heb hem dus moeten resetten en gebruik nu alleen maar kabel
wifi staat nu uit totdat ik een kooi van farraday in mijn kamer ga bouwen met de router erin . Het is vreselijk niet eens je eigen verbinding te kunnen vertrouwen, ik had notabene zelfs macadres whitelisting met alleen 2 apparaten erin.Ik weet niet hoe ze het precies hebben geflikt, want mijn wachtwoorden zijn zo complex mogelijk en van maximale lengte.
edit: Neeh, ik gebruikte juist WPA2, maar dat was dus niet genoeg.
@blurryilluzion: groupkey renewal zal ik even eens onderzoeken wat die precies doet
. Toch bedankt voor je input.[Reactie gewijzigd door Simyager op vrijdag 1 februari 2013 10:52]
Probeer eens WPA2 in te stellen met een groupkey renewal van elke 300 seconden of minder. Volgens mij wordt dan de sleutel aangepast voor deze gekraakt kan worden... Not sure tho.. ;-)
Toevallig WPS aan staan? WPS is heel makkelijk te achterhalen d.m.v. bruteforce en daardoor geeft je router je supercomplexe key gewoon weg als je eenmaal de WPS code heeft 
BTW standaard router pasworden zijn ook niet bepaald een aanrader
BTW standaard router pasworden zijn ook niet bepaald een aanrader
Nope WPA2 en dat waren zeker geen standaard routerpasswords die had ik juist al voor de 2de keer veranderd in max lengte en complexiteit .
.Nee, XoReP bedoelt WPS: Wifi Protected (haha) Setup. Deze is zeer makkelijk te kraken, waarna je WPA(2) sleutel kan worden uitgelezen.
Ik kan nergens WPS zien in de router . Dus zelfs als die er wel zou zijn kan ik hem niet uitzetten...
. Dus zelfs als die er wel zou zijn kan ik hem niet uitzetten...
Probeer je SSID broadcast uit te zetten.
Ik heb gelezen dat SSID broadcast uitzetten erger was dan het aanhebben van je SSID. Omdat je laptop/tablet o.a. dan constant zelf die SSID uitzendt, om hem op die manier te connecten.
En vinden de reeds aangesloten apparaten daarna de router nog??Probeer je SSID broadcast uit te zetten.
Ben je ook kwetsbaar als je upnp uit heb staan in je router?
Is dit een fixbaar firmware probleem of een hardware probleem? Dus hebben alleen mensen met standaard firmware hier last van ook of tweakers met DD-WRT?
Zou dit lek ook in de pnp module zitten van OpenWRT?
Ik denk het niet:
Het lek zit in de upnp-software van Broadcom.
OpenWRT is geen software van Broadcom.
Het lek zit in de upnp-software van Broadcom.
OpenWRT is geen software van Broadcom.
Het is niet alleen de upnp software van Broadcom.Het is het protocol zelf.Vandaar dat ook veel routers waar geen Broadcom chip in zit ook kwetsbaar zijn.
Heb je een bron dat dit probleem aan het UPNP protocol ligt? Tot nu toe lijkt het namelijk een probleem van Broadcom's implementatie te zijn, niet het protocol.
Goedkope routers gebruiken waarschijnlijk gewoon de reference software die Broadcom meelevert. Als je een third-party software zoals DD-WRT, TomatoUSB, OpenWRT gebruikt ijkt het me vrij onwaarschijnlijk dat het dezelfde code is als Broadcom.
Goedkope routers gebruiken waarschijnlijk gewoon de reference software die Broadcom meelevert. Als je een third-party software zoals DD-WRT, TomatoUSB, OpenWRT gebruikt ijkt het me vrij onwaarschijnlijk dat het dezelfde code is als Broadcom.
Niet het protocol zelf voor zover ik weet maar upnp is wel een handige medeplichtige springplank.
http://www.gnucitizen.org/blog/flash-upnp-attack-faq/
Er komt geen 0day of bug aan te pas en is cross-platform.En het maakt niet uit of je een webbrowser als non-root start en de webpagina laad.
www.gnucitizen.org/blog/hacking-the-interwebs/
Je router wordt overgenomen via je browser als je een bepaalde website laad,en wederom komt er geen enkele 0day en of bug aan te pas.
http://www.truedigitalsecurity.com/blog/tag/upnp/
http://www.gnucitizen.org/blog/flash-upnp-attack-faq/
Er komt geen 0day of bug aan te pas en is cross-platform.En het maakt niet uit of je een webbrowser als non-root start en de webpagina laad.
www.gnucitizen.org/blog/hacking-the-interwebs/
Je router wordt overgenomen via je browser als je een bepaalde website laad,en wederom komt er geen enkele 0day en of bug aan te pas.
http://www.truedigitalsecurity.com/blog/tag/upnp/
Het is zeer zeker niet het UPnP protocol zelf - als dat correct geimplementeerd was, waren poorten niet vanaf buiten open te zetten.
[Reactie gewijzigd door Dreamvoid op vrijdag 1 februari 2013 11:01]
UPnP in OpenWRT is gebaseerd op miniupnpd (bron). In het artikel staat het volgende door Rapid7:
Edit: Nou ja, heb zelf moeite met lezen blijkbaar. Dit staat namelijk onder de quote van Rapid7:
Dus, ja, ik zou zeggen van wel. OpenWRT backfire met Broadcom chip en de miniupnpd plug-in heeft dit lek."In all, 73 per cent of problems occur with products based on four SDKs, the report found. These are Portable SDK for UPnP Devices; MiniUPnP; a third, commercial stack that is likely developed by Broadcom; and another commercial SDK that could not be tracked to a specific developer."
Edit: Nou ja, heb zelf moeite met lezen blijkbaar. Dit staat namelijk onder de quote van Rapid7:
Plugin MiniUPnP heeft er blijkbaar toch geen last van als het de nieuwe versie betreft. Zorg gewoon dat het de v1.6 versie is. Deze is beschikbaar sinds juli 2011. Inmiddels zitten ze op v1.7.Many routers have their UPnP interface available over the WAN interface, so the vulnerability can also be exploited over the internet. It seems that, at the moment, only popular UPnP implementation that's not hit by remote preauth security vulnerability is MiniUPnP.
[Reactie gewijzigd door immetjes op vrijdag 1 februari 2013 10:18]
In de advisory staat waar precies het probleem in de code zit, namelijk gebruik van snprintf met een format string direct uit de SOAP request voor WANPPPConnection_SetConnectionType. Kijk je naar de code in miniupnp dan worden die requests gewoon denied op de WAN poort. Of zie ik nu wat over het hoofd? Dat zou gewoon betekenen, dat als je al UPnP gebruikt, je dan met OpenWRT veilig bent.
Foutje:
"Het probleem bevindt zich in universal plug and play-software van Broadcam. Upnp maakt het mogelijk om automatisch andere apparaten op een netwerk te ontdekken. "
"Het probleem bevindt zich in universal plug and play-software van Broadcam. Upnp maakt het mogelijk om automatisch andere apparaten op een netwerk te ontdekken. "
Note to self: UPNP in mn Ziggo router uitschakelen tot Fw update met fix.
Hier (rapid7) kan je checken of je router kwetsbaar is.
Congratulations! Your router did not respond to a UPnP discovery request.
Fritz 7340.
Fritz 7340.
hier ook, mijn Cisco 3825 heeft een broertje dood aan UPnP.
Cisco IOS ondersteunt geen upnp, en zal dat ook nooit doen. Dus met elke zakelijke Cisco-router zit je goed.mijn Cisco 3825 heeft een broertje dood aan UPnP.
Asus RT-N66u is ook goed bevonden.
Ja, dat komt omdat daar ook gewoon miniupnpd in zit. Dit soort lekken zijn al in 2011 gepatched oid.
Sowieso, die broadcom upnp software is lang niet zo compatible, miniupnpd ondersteund bijvoorbeeld ook het nat-pmp protocol, geďntroduceerd door apple.
Sowieso, die broadcom upnp software is lang niet zo compatible, miniupnpd ondersteund bijvoorbeeld ook het nat-pmp protocol, geďntroduceerd door apple.
Ook hier, mijn TP-Link wdr4300 heeft er geen last van en is goed bevonden
Zyxel ZyWall USG 100 (firewall/router)Congratulations! Your router did not respond to a UPnP discovery request.
Was een onnodige test, maar een extra testje kan natuurlijk geen kwaad.
Relevant: Ik heb een WRT54GL, de router die in eerste instantie in opspraak was, maar deze gebruikt DD-WRT firmware. Deze lijkt bij mij niet kwetsbaar. Het kan natuurlijk geen kwaad om nog even de settings door te lopen als je DD-WRT gebruikt.
Congratulations! Your router did not respond to a UPnP discovery request.
Apart...Mijn Cisco/Linksys E4200 heeft toch echt een broadcom chip?
Apart...Mijn Cisco/Linksys E4200 heeft toch echt een broadcom chip?
Instant test op je router kwetsbaarheid vanaf het internet mbt upnp:
http://www.grc.com/x/ne.dll?rh1dkyd2
http://www.grc.com/x/ne.dll?rh1dkyd2
Steve Gibson van GRC heeft in Security Now! aflevering 389: Unplug UPnP aangegeven dat hij een kwetsbaarheidtest voor UPnP (bereikbaar aan de WAN zijde) in ShieldsUp gaat verwerken.
http://twit.tv/show/security-now/389
Deze aflevering is van 30-01-2013.
Ik kan deze show echt aanraden.
Transcripties kun je hier vinden http://www.grc.com/securitynow.htm
http://twit.tv/show/security-now/389
Deze aflevering is van 30-01-2013.
Ik kan deze show echt aanraden.
Transcripties kun je hier vinden http://www.grc.com/securitynow.htm
[Reactie gewijzigd door BenCo. op vrijdag 1 februari 2013 21:02]
Op dit item kan niet meer gereageerd worden.
Prijzen
Linksys WRT54GL
- Linksys WRT54GL
Populair: Tablets Samsung Websites en communities Mobiele telefoons Google Apple Microsoft Sony Games Politiek en recht
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
