Masz router D‑Link DWR‑932? Wyrzuć go. Jest dziurawy jak sito, a producent na łatki nie ma czasu

D-Link DWR-932 jest dziś jednym z najpopularniejszych na rynkurouterów LTE. Nic w tym dziwnego: router ładnie wygląda, jestlekki i mobilny, ma niezłą specyfikację, i co najważniejsze,niską cenę – kupimy go za jakieś 320 zł. Ma jednak też jednąfatalną wadę. Jest dziurawy jak sito.

Routerem firmy, która świętuje 30 lat innowacji, zająłsię badacz Pierre Kim, po tym jak spędził trochę czasu badającroutery LTE firmy Quanta. Znalazł w nich kilkanaście różnych luk,które ocenił jako w najlepszym razie przejaw niekompetencji, a wnajgorszym, jako celowy sabotaż zabezpieczeń przez producenta.Mocne słowa, na szczęście routerów Quanta się praktycznie u nasnie spotyka, te modele popularne są przede wszystkim w Azji.

A może jednak spotyka? Wygląda na to, że DWR-932 D-Linka totechnicznie prawie to samo. Według badacza router nie tylko bazujekonstrukcyjnie na modelu Quanty, ale też odziedziczył luki z jegofirmware. Jest ich sporo – i co najciekawsze, D-Link w ogóle sięich odkryciem nie przejął. Mimo że Pierre Kim zgłosił jezespołowi bezpieczeństwa producenta w czerwcu, do tej pory niewydano łatek, a co więcej, firma stwierdziła, że nie ma w planachtakiego wydania.

Świetnie, oto na stronie badacza możecie zobaczyć publicznieujawnione luki w routerze D-Linka (oraz gotowe exploity) przetestowane na najnowszymfirmware. Wymienimy je tutaj w skrócie:

• firmware D-Linka zawiera dwa konta-furtki z łatwymi dozgadnięcia hasłami (admin/admin, root/1234), które możnawykorzystać np. do obejścia mechanizmu uwierzytelnianiawykorzystywanego do zarządzania routerem.

• zastosowano na sztywno wbity PIN do mechanizmu WirelessProtected Setup, w połączeniu z kiepskim algorytmem generacjiPIN-ów. Zapraszamy do lektury artykułuo tym, na co pozwala WPS, a szczególnie WPS ze słabym PIN-em.

• w demonie HTTP znaleziono liczne podatności, otwierające drogędo zdalnego uruchomienia kodu, przeglądania zawartości systemuplików i wycieku informacji z interfejsu webowego.

• wbite na sztywno dane logowania do serwerów aktualizacji.Bardzo fajnie, teraz każdy będzie mógł phishingowym atakiempodmienić firmware na jakieś bardziej złośliwe (o ile jest tomożliwe).

• usunięcie zabezpieczeń w mechanizmie UPnP – można gowykorzystać do dowolnej konfiguracji zapory sieciowej, napastnikmoże sobie łatwo ustawić wszelkie przekierowania wszelkiegomożliwego ruchu.

Szczerze mówiąc, to świetny router – przynajmniej zperspektywy cyberprzestępców. Nie tylko jest pełen dziur, ale teżoferuje fantastyczne środowisko pracy. Niezły dwurdzeniowyprocesor, dużo RAM-u (całe 168 MB), sporo miejsca na własne pliki(235 MB), a do tego kompletny zestaw narzędzi sieciowych, wraz zsshd, proxy i tpcdumpem). Nic tylko go przejąć, uzłośliwić izamienić w narzędzie do ataków DDoS, MitM, czy snifowania ruchusieciowego. Badacz twierdzi, że sam przygotował zresztąuzłośliwione firmware dla tego modelu, instalacja przeszłabezproblemowo.

W obecnej sytuacji użytkownikom D-Linka DWR-932 możemy polecićtylko jedno. Alternatywnego firmware nie zainstalujecie, bo go niema. Bezpiecznego firmware nie zainstalujecie, bo go nie ma. Odłączcierouter od sieci i wsadźcie do pudełka. Może kiedyś jakaś łatkasię pojawi, ale dziś korzystanie z tego sprzętu to proszenie sięo kłopoty. Dlaczego D-Link tak podszedł do sprawy, możemy tylkozgadywać. Ignorancja czy sabotaż?