D-Link patcht router maar laat twee kwetsbaarheden zitten

D-Link heeft een patch uitgebracht voor de DIR-865L-router. Daarmee worden vier kwetsbaarheden gerepareerd waarmee data kon worden uitgelezen. Opvallend is dat D-Link twee kwetsbaarheden, waaronder een command injection, juist niet repareert.

De bugs worden gerepareerd in de DIR-865L, die inmiddels in Europa end-of-sale is. Beveiligingsonderzoekers van Palo Alto Networks vonden de kwetsbaarheden in de router. In totaal gaat het om zes bugs. De bugs zijn vrij ernstig; ze krijgen van de National Vulnerability Database scores tussen de 7,5 en 9,8 op een schaal die de ernst moet aangeven.

De kwetsbaarheden maken het mogelijk om veel informatie via de router te achterhalen. Zo is het mogelijk code te injecteren en zo malware naar een netwerk te uploaden, of om gegevens af te lezen. Het gaat onder meer om een cross-site request forgery en een command injection. Daarnaast zijn versleutelingen in sommige gevallen niet sterk, en wordt ergens in plain text data opgeslagen en verzonden.

De onderzoekers van Palo Alto Networks ontdekten het lek in februari en stemden het rapport erover af met de routermaker. Opvallend is dat D-Link slechts vier van de zes kwetsbaarheden repareert. De bug waarmee een command injection mogelijk is, CVE-2020-13782, en het verzenden van informatie in plain text, CVE-2020-13787, krijgen geen fix. Het is niet bekend waarom D-Link die twee specifieke lekken niet repareert. Misschien heeft dat te maken met de uitfasering van de routers. In de Verenigde Staten is de router inmiddels zelfs al end-of-life.

CVE-2020-13786	Verschillende pagina's in de webinterface zijn kwetsbaar voor cross-site request forgery. Daardoor konden bestanden met malware erin worden geüpload.
CVE-2020-13785	De encryptie om in te loggen op de portal werd deels in plain text verstuurd. Met een bruteforceaanval was het mogelijk het wachtwoord te achterhalen.
CVE-2020-13784	Het algoritme om de sessiecookie te berekenen was te voorspellen.
CVE-2020-13783	Het wachtwoord voor de router was in plain text opgeslagen in tools_admin.php.
CVE-2020-13787	Het wachtwoord voor het gastnetwerk werd met wep versleuteld
CVE-2020-13782	Er kon code worden ingevoerd met adminrechten als er verbinding werd gelegd met scandir.sgi

Reacties (49)

[kodak]

Ik mis in het artikel een uitleg over het risico van de kwetsbaarheden die D-Link niet oplost. Beveiliging gaat niet alleen om het wel of niet bestaan van een kwetsbaarheid maar ook om de omstandigheden wanneer die bestaan en de omstandigheden die nodig zijn om er gebruik van te maken. Palo Alto legt die omstandigheden niet voor niets uit.

CVE-2020-13787: Cleartext transmission of sensitive information
Dat blijkt dus een kwetsbaarheid te zijn die zit in een functionaliteit waarvan sinds 2004 het advies al is om die niet te gebruiken: WEP. Om kwetsbaar te zijn moet de beheerder van het apparaat dus heel eigenwijs al 16 jaar lang geen aandacht schenken aan de risico's en waarschuwingen over WEP en ook nog eens kiezen om WEP te (blijven) gebruiken.

CVE-2020-13782: Improper Neutralization of Special Elements Used in a Command (Command Injection)
Dit is pas mogelijk als de beheerder van het apparaat is ingelogd. Hier moet dus aan tal van andere voorwaarden worden voldaan als een crimineel dit wil gebruiken. De crimineel moet om te beginnen dus al bij die webinterface kunnen en vervolgens ook al de rechten van de beheerder hebben overgenomen. Als de crimineel al beheerder kan worden dan heb je al een groot probleem. Deze kwetsbaarheid maakt het dan wat meer pijnlijk.

[the_stickie]

Bij CVE-2020-13782 had ik begrepen dat je inderdaad toegang tot de webinterface nodig hebt, en dat een admin moet zijn aangelogd om de kwetsbaarheid te kunnen misbruiken. Maw een attacker kan zijn aanval proberen tot er toevallig een admin aanmeldt.

Nu gaat het om consumer aparatuur en zitten consumenten gewoonlijk niet regelmatig op de webinterface van hun router. Dat maakt het natuurlijk niet onmogelijk (desnoods met at social engineering), wel hoogst onwaarschijnlijk.

[ocwil]

Kijk dit is informatie waar je wat aan hebt :duimpje:
Wat dat betreft dus helemaal nog niet eens zo'n groot probleem dat deze 2 kwetsbaarheden dan (nog) niet gepatcht zijn met deze update.

En ergens wel bijzonder dat de andere 4 al wel gepatcht zijn ondanks de EOL status.

[FlyingDutchMen]

Goed bezig dit is de echter informatie die erbij hoort! Beetje jammer dit zou je eigenlijk van tweakers zelf verwachten.

Verbaast me wel enigzins dat de CVE-2020-13782 een score van 9.8 krijgt. Naar mijn idee is het zeker een groot risico. Een 9.8 lijkt mij een beetje te extreem voor dit. Aangezien je op het netwerk moet zitten en ook nog eens het wachtwoord moet weten. To be fair er zijn er genoeg bij die het wachtwoord niet aangepast zullen hebben .

[n9iels]

Dit lijkt een beetje op hetzelfde verhaal met Microsoft en Windows XP. Na het verklaren van EOL vindt iemand een security issue, wat doe je dan? Technisch gezien ben je niet verplicht om het te patchen aangezien je het productie niet meer support. Moreel gezien is het een heel ander verhaal. En aangezien het hier (volgens mij) om een consumenten product gaat heeft D-Link er helemaal geen zin in denk ik zo.

Daarnaast vraag ik mij af hoeveel mensen überhaupt weten dat hun router een updaten kan krijgen. En wil ik niet weten hoeveel routers er in omloop zijn met beveiligings problemen die niet gepatched zijn en worden....

[Reactie gewijzigd door n9iels op 25 juli 2024 11:09]

[dutchnltweaker]

Je hebt helaas gelijk, hier een sitecom router. Werkt goed maar heeft maar 2 of 3 updates gehad (laatste stamt van 2016 of 17). De app is hopeloos verouderd, contact gehad en antwoord: we doen niks meer met netwerk apparatuur en dus wordt de app en firmware niet meer geüpdatet..

[Tassadar32]

Ubiquity ondersteunt zijn producten heel lang en updaten is redelijk simpel. Aanrader!

[IJsbeer]

En Asus is de ander die dat ook doet. Synology zou ik het ook van verwachten, maar die zitten nog niet heel lang in deze markt.
Ik mis het punt ondersteuning heel vaak in reviews (ja, ook hier op tweakers), snap niet dat dat niet zo'n belangrijk punt is bij reviews. Leuk dat een router snel en goed is, maar als hij zo lek is als een mandje dan ligt al je digitale content gewoon op straat... .

[DaMonkey]

Jammer maar helaas, ondersteuning kan je pas na een tijd beoordelen, en een review kan natuurlijk geen 2 jaar wachten. En review producten hebben vaak nog beta firmware en drivers, waardoor het bij het testen zelfs lijkt dat de support goed is.

En om bij elke review te moeten melden "x staat er voor bekend maar 3 maanden updates te geven, maar belooft bij dit product meer" (want, helaas, is dat zowat de realiteit) is ook overdreven. Zelfs producten die altijd een goed update record hadden kunnen besparen, overgenomen worden of ineens beslissen dat een product niet meer ondersteund is (was er geen 500+ euro Sonos speaker die 3 jaar geleden nog verkocht is maar niet met de nieuwe software werkt?)

Dus ja, ik zou ook betere en langere support willen, maar hier kan je pas iets over zeggen wanneer het toestel niet meer ondersteund wordt (=slechte support) of zodanig verouderd is dat het vervangen moet worden (=goed).

[Wivern]

Kijken of er andere firmware bestaat voor jou router... Bijvoorbeeld: https://openwrt.org/toh/start?dataflt%5BBrand*%7E%5D=D-link

[oef!]

De meeste mensen zullen een router van hun ISP hebben die op afstand kan worden gepatched maar verder heb je gelijk. Ik gebruik een eigen Asus router en ik moet zelf maandelijks checken of er een update klaar staat en eventueel patchen. Waarom dat niet automatisch kan is me een raadsel en ik kan me voorstellen dat juist om deze reden er een groot aantal routers potentieel onveilig zijn.

[theduke1989]

Je wilt het niet automatiseren. Omdat het fout kan lopen met de update.
En wanneer je het manueel doet, je de scope direct verkleint. Misschien zit er een bug, en dan heb je in 1x miljoenen devices ge-update met een bug. En moet je damage control firma gaan spelen. En dat wil j niet.

[Reactie gewijzigd door theduke1989 op 25 juli 2024 11:09]

[oef!]

Snap ik maar ik wil graag de optie hebben om mijn router te bricken vanwege mijn eigen luiheid. Daarnaast is er voor mij weinig verschil tussen handmatig een brakke patch uitvoeren of dat automatisch laten doen.

Het is natuurlijk ook mogelijk om maatregelen te nemen die bricken van miljoenen apparaten zo veel mogelijk voorkomen zoals verschillende update rings of het maken van een backup partitie met de vorige firmware.

[houwimmie]

Het proces automatiseren is wat een Cisco Meraki bijvoorbeeld wel doet met een install base van vele miljoenen.
Updates niet uitvoeren kan haast niet. Het enige wat je kan opgeven is een maintenance window (dag van de week en uur).

[Keypunchie]

Je wilt het niet automatiseren. Omdat het fout kan lopen met de update.

Juist wel automatiseren, maar rekening houden met dit soort zaken. En dat is niet zo moeilijk. Om te beginnen een goeie QA/beta-programma.

En bij de uitrol kan je altijd een kraantjes-methode gebruiken.

Stel je hebt een serienummer dat eindigt op 6 cijfers.
Eerst doe je 1 specifiek serienummer.

123456. Na x tijd geen klachten, dan maak je het groter iedereen die eindigt op 23456. Na x tijd weer geen klachten: 3456, etc. totdat je het hele serienummer (of deviceID) laat varen, maak je iedere keer de groep 10x groter. Mocht je dan tegen issues aanlopen, heb je altijd een 10x grotere groep die *geen* problemen heeft.

[R4gnax]

Juist wel automatiseren

Vanuit EU wetgeving geldt dat in een contract met een consument clausules die het oogmerk hebben de leverancier of verkoper het recht te geven eenzijdig een product aan te passen, altijd geacht worden oneerlijke clausules te zijn. Daarmee zijn deze niet-bindend en niet uitvoerbaar.

Door toch te proberen dit recht te nemen creeër je als leverancier een risico dat iemand je een rechtszaak aan de broek doet voor het wederrechtelijk aanpassen van hun aangeschafte product.

[Reactie gewijzigd door R4gnax op 25 juli 2024 11:09]

[Keypunchie]

Dat is een kwestie van 1 toggle: “automatisch updates installeren”

Ik heb het niet zelf verzonnen hoor, talloze apparaten, incl. routers hebben deze functie allang.

Daarnaast: het product is de fysieke router, de software neem je los een licentie op...

Dat je zonder het een de ander nauwelijks kunt gebruiken voor iets anders dan om blaadjes papier op hun plaats te houden is een tweede verhaal.

Die rechtszaak zal niet gaan om wederrechtelijke aanpassing, maar gewoon om ‘deugdelijk product’.

[Reactie gewijzigd door Keypunchie op 25 juli 2024 11:09]

[R4gnax]

Daarnaast: het product is de fysieke router, de software neem je los een licentie op...

Verandert niets aan de zaak, want deze regel geldt voor contracten in het algemeen en heeft niets te maken met de aanschaf van specifiek goederen. Het versrerkt enkel de positie van de consument, want het wijzigt het accepteren van de voorwaarden voor deze software licentie van een (mogelijk) wel overwogen besluit bij aanschaf naar een "take it or leave it"-situatie achteraf.

Maar zelfs als het dat wel had: de EU heeft al langer het standpunt dat software die onlosmakelijk met een goed verbonden is, als onderdeel van dat goed gezien moet worden. In de herziene richtlijn voor verkoop van goederen die 2021-2022 in zal gaan, is dit formeel vastgelegd in de wetstekst.

[Reactie gewijzigd door R4gnax op 25 juli 2024 11:09]

[Tozz]

Welnee. Daar zijn allerlei oplossingen voor waarbij Canary-testing in dit geval waarschijnlijk de beste is.

Dan heb je een update, die rol je uit op 1 device. Breekt daar niet de pleuris uit dan rol je 'm uit op 2 devices. Hoor je niets? Dan op 4. Nog niets? 8 en zo verder. 16, 32, 64, 128, 256, 512, 1024, etc, etc.

Echt grote issues hoor je dan vanzelf.

Zo rolt Tesla ook alle updates uit.

[StefanJanssen]

De meeste mensen in Nederland zullen een router van hun ISP hebben. ik weet dat het in het buitenland vaak juist eigen routers zijn.

[kodak]

Alleen heeft D-Link geen uitleg gegeven waarom ze die kwetsbaarheden niet verhelpen. Het EOL-verhaal is slechts een van de veronderstelde mogelijkheden over de oorzaak. Het verhaal zegt bijvoorbeeld niet of het aan de voorwaarden voldoet vanwege bijkomende factoren zoals eerst op je eigen netwerk als beheerder ingelogd moeten zijn op de D-Link. Of dat de beheerder heel eigenwijs een functie die in 2004 niet voor niets al deprecated was 16 jaar later toch maar in gebruik heeft met alle risico's van dien.

[PcDealer]

End of life hoeft niet hetzelfde te zijn als end of support. Kijk bijvoorbeeld naar Cisco.

[aikebah]

Maar bij specifiek deze D-Link is het zowel EOL als EOS (EOS al sinds 1 Feb 2016); wat bij D-Link zo te zien betekent dat er sindsdien alleen beta-builds van firmware beschikbaar worden gesteld op basis van fixes in de codebase t.b.v. supported modellen die toevallig ook 1-op-1 overgenomen kunnen worden in de build van firmware voor een oude versie.
De cryptische formulering van D-Link zelf:

These beta releases are a result of investigating and understanding the report and out complete investigation of the entire family of products that may be affected. Firmware released after EOS is a standard operating procedure,

[ZFLaSH]

Daarom bouw ik ook mijn eigen routers met opensoure software die een actieve community hebben zoals pfSense en soortgelijken. Gezien de belangrijkheid (en veel mensen hebben geen idee van de belangrijkheid) van een router / firewall in de huidige tijd, vind ik een lange support vanuit bedrijven ook een must.

[Reactie gewijzigd door ZFLaSH op 25 juli 2024 11:09]

[mjl]

Leuk voor een tweaker maar een gemiddelde consument kijkt alleen naar prijs en marketing praat...

Ze zouden een wet of regelgeving moeten invoeren dat de provider verantwoordelijk wordt voor een router: verplichte router van de provider met verplichte patching en als de router te oud wordt vervangen door een nieuwe.

Alleen met een pro/zakelijk abonnement mag je het dan zelf regelen (na formele overdracht van de verantwoordelijkheid).

[ZFLaSH]

Dat is wel een goede inderdaad. Ik ben alleen bang dat dit soort wetgeving er nooit gaat komen tenzij er echt dusdanig iets fout gaat, dat er zoveel aandacht voor komt dat ze gedwongen worden.

[dec0de]

Dan word het pro abbo natuurlijk goedkoper en koopt iedereen alsnog het pro abbo. Handiger is als je een extra security pakket hebt, waar de ISP de router beheerd, die wat extra kost, en wil je die niet, krijg je geen router van de ISP en moet je alles zelf doen op het gebied van security. en router updates. Je krijgt alleen een hele crappy test router voor als de wifi het niet doet.

[MauricevL]

Is dit in feite niet al hoe het werkt? Je internet provider is verantwoordelijk voor het realiseren van een werkende internet aansluiting, aansluiten van het router incluis. En volgens mij worden er regelmatig updates uitgevoerd aan de software. Maar misschien is er ergens nog een provider die enkel een modem levert?

[Reactie gewijzigd door MauricevL op 25 juli 2024 11:09]

[mbovenka]

Tweak levert bij Internet Only alleen een media converter om van 1000BASE-BX10-U 1000BASE-T te maken. Verder niets.

[N8w8]

Bij Edpnet kan je een abo nemen zonder modem/router.

[Tozz]

De overheid wil juist af van een door de ISP opgelegde modem.

Veel van de modemrouters die je nu krijgt van je ISP zijn gehuurd/geleend. Daarvan mag je naar mijn idee wel verwachten dat ze 'm onderhouden.

[Pepperoni]

Daarom flash ik dus Openwrt. DD-wrt is ook een leuke en wat simpeler in gebruik. Flashen stelt niks voor bij de meeste ondersteunde modellen en wat heb je nog te verliezen als de fabrikant je niet meer ondersteund?

[dutchnltweaker]

Maar wat kan je meer met openwrt dan? Heb het al meer gelezen maar vindt het nog wel wat om je router firmware te flashen.

[Pepperoni]

Up to date, geen gekke backdoors van de nsa of whatever. Verder een heleboel meer features die je alleen vind op duurdere routers. En het is een stuk stabieler.

En toegegeven, de gemiddelde gebruiker zal die features niet of nauwelijks boeien, maar er zijn ook dingen als adblock, sluit een usb schijf aan en je kunt er torrents mee downloaden etc etc. Zou zelf niet m'n router cpu teveel belasten voor niet router dingen maar ja die dingen worden ook steeds sneller.

Ander voorbeeld, we gaan binnenkort switchen van internet. M'n vriendin heeft een unlimited abbo. Met openwrt was het super makkelijk de telefoon als "modem" te gebruiken en zo hebben we toch internet die paar dagen tijdens de overstap.

Nog een voorbeeld: we hebben van die ip cameratjes om de beesten in de gaten te houden. Ik vertrouw die meuk niet helemaal dus block ze internet toegang. Maar ik kan dat weer aanzetten als we weggaan en juist wel willen dat ze internet hebben. Heb nu ook de knop op de voorkant middels een scriptje dat aan en uitzetten laten doen, inclusief ledje om de status te laten zien.

De mogelijkheden zijn eigenlijk onbeperkt als je maar creatief genoeg bent

[Reactie gewijzigd door Pepperoni op 25 juli 2024 11:09]

[Bezulba]

En waarom zou opensource geen backdoors hebben? Alsof er ook maar iemand op deze aardbol alle source code van alle libraries die gebruikt wordt gaat doorspitten (en dan nog zijn er legio mogelijkheden om het er legitiem te laten uitzien)

[Pepperoni]

Wist dat iemand dit non-argument ging gebruiken, en nee ik lees niet de source code en compile niet van source. Desalniettemin is de Linux kernel veel beter gecontroleerd dan die van Windows of Mac OS. Of de router in dit artikel, waar gewoon kwetsbaarheden blijven zitten. Als je het zwart wit wilt zien, nee dan weet je niet alles. Enige echt veilige alternatief: zeg je internet op en verbrand je pc's.

[dec0de]

Opensource is niet inherent meer secure. Mijn eigen opensource software met 3 of 4 bezoekers en 4000 downloads uit de store, is niet meer secure, maar vaak willen mensen voordat ze hun code opensourcen de code een clean up geven, en geen hacky workarounds meer gebruiken. Hacky workarounds zijn vaak de root cause van een bug.

[mae-t.net]

Zelfs als je pessimistisch of cynisch kijkt, is er verschil tussen 0 reviews (closed source) en misschien ooit een review (open source).

[n9iels]

OpenWRT geeft je volledige toegang tot de hardware van je router. De standaard Firmware limiteert je vaak in het instellen, zo heb je bijv. enkel de optie om een gastnetwerk ernaast te zetten. Met OpenWRT kun je als je als je wilt drie draadloze netwerken opzetten voor prive, gast en IoT devices. Deze netwerken kun je dan m.b.v. VLANs weer compleet van elkaar scheiden en met Firewall regels instellen wie met wie mag communiceren.

Maar let wel op, OpenWRT moet wel je router ondersteunen en het instellen is wat lastiger. Ik ben er zelf met minimale netwerk kennis toch wel een dagje mee bezig geweest.

[n9iels]

Exact! En als pluspunt krijg je er vaak nog meer Tweakes features voor terug, zoals support voor VLAN's en meerdere draadloze netwerken :-D

[EnigmaNL]

Dit artikel laat het bijna lijken alsof D-Link bewust de twee kwetsbaarheden laat zitten terwijl we dat helemaal niet kunnen zeggen volgens mij. Wellicht konden ze die nog niet oplossen op dit moment en doen ze dat later alsnog?

[dec0de]

Jawel http://www.devttys0.com/2...e-ridiculous-fuck-d-link/ lees dit maar even

[EnigmaNL]

Waar staat dan dat ze er bewust voor kiezen om deze kwetsbaarheden te laten zitten? Ik zie het niet. Kan gewoon een gevalletje van Hanlon's Razor zijn.

[latka]

Het is D-Link. Daar geld Hanlon's Razor niet meer hebben ze al aangetoond.

[dec0de]

Heb je het artikel gelezen? Als jij een bug patched, door alleen maar te checken of de command een echte command is, dat patch jij geen bug. Als jij niet de 2 stack overflows oplost de door N variant er van te gebruiken, maar door er een acces control er voor te douwen, en dan voor de acces control weer een stack overflowable sprintf neet te zetten? Nee.

[robvanwijk]

Wellicht konden ze die nog niet oplossen op dit moment en doen ze dat later alsnog?

Strikt genomen mogelijk, maar in dat geval zouden ze toch wel iets zeggen in de trant van "Deze vier waren makkelijk te fixen, dus dat hebben we meteen gedaan. De andere twee zijn we nog mee bezig; controleer regelmatig of er een nieuwe update is, zodat je die patches niet mist.". Door geen enkele indicatie te geven dat ze zelfs maar overwegen om die laatste twee ook op te lossen hebben ze het aan zichzelf te danken dat iedereen nu (mogelijk terecht!) concludeert dat die nooit meer gerepareerd gaan worden.

[aikebah]

Hun statement is een stuk steviger... "gooi dit product in de prullenbak en koop iets wat wel ondersteund is"

While D-Link is aware of the alleged vulnerabilities involving the DIR-865L. The product has reached End of Life(EoL)/End of Support(EoS), and there is no more extended support or development for them. Once a product is past EoL/EoS date, which states on its product support page or has been transferred to https://legacy.us.dlink.com/,


D-Link will be unable to resolve Device or Firmware issues since all development and customer support has ceased.


From time to time, D-Link will decide that sure of its products have reached EOL. D-Link may choose to EoL a product for many reasons, including the shift in market demands, technology innovation, costs or efficiencies based on new technologies, or the product matures over time and is replaced by functionally superior technology.


Once a product is identified as EoL, D-Link will provide the dates for which the support and service for that product will no longer be available.


For US consumers, D-Link recommends this product be retired, and any further use may be a risk to devices connected to it and end-users connected to it. If US consumers continue to use the product against D-Link's recommendation, please make sure the device has the most recent firmware from https://legacy.us.dlink.com/, installed, make sure you frequently update the device's unique password to access its web-configuration and always have WiFI encryption enabled with a unique password.

[dec0de]

D-link haalt wel vaker dit soort trucjes uit, devttys0.com heeft hier een leuk adtikel over: http://www.devttys0.com/2...e-ridiculous-fuck-d-link/

Met indepth analyse va de firmware en alles, het is bijna een tutorial om kwetsbaarheden te vinden in je eigen router

[Reactie gewijzigd door dec0de op 25 juli 2024 11:09]

[mutley69]

D-link is synoniem geworden met ondermaatse kwaliteit en onveiligheid. Support is nooit hun sterkste kant geweest, maar goed, we kunnen de zaken niet veranderen.