Onderzoekers van de Carnegie Mellon en Boston University hebben met een geautomatiseerd analysesysteem kwetsbaarheden ontdekt in routers van Netgear en D-Link. Het analysesysteem heet Firmadyne. De onderzoekers onderzochten bijna 9500 firmware-images.
In totaal gebruikten de onderzoekers zo'n 23.000 firmware-images, verzameld van 42 verschillende fabrikanten van apparaten met embedded firmware. Firmadyne kon uit 9486 images achterhalen dat 887 images kwetsbaar waren voor een van 74 bekende exploits. Daarnaast vonden de onderzoekers 14 voorheen onbekende exploits in 69 firmware-images die in gebruik waren bij 12 producten.
Het framework draait automatisch op Linux-gebaseerde firmware die is ontworpen voor embedded apparaten in een omgeving die geëmuleerd is. Vervolgens voert Firmadyne een aantal veiligheidstests uit, inclusief tests voor bekende exploits.
Enkele van de kwetsbaarheden werden gevonden in apparaten van Netgear en D-Link. De typenummers van deze apparaten hebben de auteurs van de paper apart bekendgemaakt op Seclist.org. De onderzoekers waarschuwden zowel Netgear als D-Link, maar kregen vooralsnog alleen van Netgear reactie. Netgear zal eind februari een firmware-update voor het WN604-draadloos toegangspunt doen uitkomen. De overige apparaten zullen niet voor midden maart een update krijgen.
Een deel van de apparaten van Netgear is gevoelig voor een sql-injectie CVE-2016-1555. De kwetsbaarheden doen zich vooral voor bij apparaten die zo geconfigureerd zijn dat ze via internet beheerd kunnen worden. De apparaten van Netgear die gevoelig zijn, dragen de typenummers WN604, WN802Tv2, WNAP210, WNAP320, WNDAP350 en WNDAP360. Met uitzondering van de WN802Tv2 bezitten deze apparaten en de WNDAP930 ook webpagina's die toegankelijk zijn zonder authenticatie, waardoor de pin voor de wps-mode zichtbaar kan worden.
De apparaten van D-Link die kwetsbaar zijn, zijn de D-Link DAP-2310, DAP-2330, DAP-2360, DAP-2553, DAP-2660, DAP-2690 en DAP-2695. Deze apparaten hebben last van een buffer overflow-kwetsbaarheid als de dlink_uid-cookie verwerkt wordt. Drie andere D-Link-apparaten en drie van Netgear tonen draadloze wachtwoorden via het snmp-protocol. Het gaat hier om de DAP-1353, DAP-2553, DAP-3520, WNAP320, WNDAP350 en WNDAP360.
Firmadyne is als opensourceproject verschenen op GitHub, naast een onderzoekspaper getiteld "Towards Automated Dynamic Analysis for Linux-based Embedded Firmware". Van de 887 firmwares waren de meesten afkomstig van Netgear en D-Link. Enkele andere merken waar door Firmadyne gevonden exploits in voorkomen, zijn van Belkin, Huawei, Linksys, On Networks, Tomato by Shibby, TP-Link, TRENDnet en ZyXEL. Voor de volledige lijst, zie pagina 16 in de paper.
- ook al doet TP-Link het ook niet slecht met 'slechts' 3* exploits terwijl de web interface toch relatief uitgebreid is. Het is net omdat ik weet dat OpenWrt actief ontwikkeld wordt dat ik toch OpenWrt heb geflasht op m'n TP-Link 1043ND.
. 
