I router wireless D-Link della serie DIR-850L sono affetti da dieci vulnerabilità di sicurezza che potrebbero mettere seriamente a rischio gli utenti sia da connessioni locali (LAN) che esterne (WAN). Il ricercatore che ha individuato le falle, Pierre Kim, ha provato in passato a contattare l’azienda che però non si è dimostrata intenzionata a collaborare. Per questo Kim ha deciso di svelare pubblicamente i dettagli di questi 10 bug (0-days) senza attendere risposta da parte di Taipei.
Un cyber-criminale a conoscenza del problema potrebbe compiere ogni genere di azione malevola, suggerisce Kim, inclusa l’ intercettazione del traffico di rete , l’ aggiornamento del firmware del router con un’immagine modificata , l’acquisizione di privilegi di accesso “root” e molto altro ancora. A rischio compromissione è anche MyDLink , il servizio cloud di D-Link che permette all’utente di accedere al proprio router da Internet.
In particolare, ha spiegato il ricercatore sudcoreano, sui router DIR-850L non esiste una protezione adeguata che impedisca l’upload di un firmware malevolo (prima vulnerabilità), il pannello di amministrazione contiene falle di tipo Cross-site scripting/XSS (seconda), le password di accesso possono essere recuperate (terza), il protocollo MyDLink non è adeguatamente protetto (quarta), le chiavi crittografiche del suddetto protocollo sono incluse nel firmware e possono essere estratte per condurre attacchi MitM (quinta), esiste un account segreto classificabile come “backdoor” (sesta), le impostazioni DNS possono essere alterate tramite richieste HTTPS non autenticate (settima), i file locali sono accessibili dall’esterno (ottava), il client DHCP interno è vulnerabile (nona), i daemon del router possono essere mandati in crash a causa di una falla di tipo DoS (decima).
Si tratta, come è evidente, di problemi estremamente gravi che suggerirebbero un intervento correttivo immediato da parte di D-Link, ma Kim suggerisce che tale intervento non arriverà tanto facilmente: già nel recente passato la corporation taiwanese aveva completamente ignorato un rapporto di sicurezza spedito dal ricercatore, per cui questa volta Kim ha deciso di rendere pubblica l’esistenza delle dieci falle senza curarsi di imbastire tentativi di comunicazione con Taipei.
Dall’inizio dell’anno, D-Link ha già ricevuto un ammonimento per la scarsa considerazione sui rischi di sicurezza scovati all’interno dei suoi dispositivi di rete; un comportamento che ha costretto la Federal Trade Commission (FTC) statunitense a intervenire per vie legali .
Alfonso Maruccia
Ti potrebbe interessare
12 set 2017