В роутерах D-link выявлена серьезная уязвимость

Группа хакеров, специализирующаяся на встраиваемой электронике, обнаружила уязвимость в популярных домашних роутерах D-Link, при помощи которой к управлению устройством может быть допущен неавторизованный пользователь. Уязвимость, открывающая доступ к администраторскому веб-интерфейсу, позволяет котролировать ряд пользовательских функций в популярных роутерах DIR-100, DI-524, DI-524UP, DI-604S, DI-604UP, DI-604+ и TM-G5240. Согласно сообщению ресурса /dev/ttys0, несколько роутеров модельного ряда Planex также уязвимы, так как они применяют такую же системную прошивку.

В сообщении говорится, что для того, чтобы получить доступ к управлению роутером без пароля пользователю нужно открыть окно авторизации и ввести в графе имени пользователя последовательность xmlset_roodkcableoj28840ybtide, при этом пароль можно уже не вводить - роутер пустит с таким именем и без него.

Специалисты говорят, что так называемый User Agent в мини-сервере роутера использует простейший алгоритм последовательностей для предоставления или отказа в авторизации. Так, если вводимая последовательность вызывает функцию check_login и та либо пропускает функцию alpha_auth_check, либо возвращает параметр 1, то роутер пускает в интерфейс управления и без ввода пароля.

Пользователи /dev/ttys0 расходятся во мнении является ли столь слабая реализация грубой недоработкой D-Link или же это намеренно созданный инженерный бэкдор. Также разработчики ресурса говорят, что ими уже был создан эксплоит против данного бага.

Еще интересное

Специалисты компании «Доктор Веб» обнаружили самую крупную в мире бот-сеть из инфицированных мобильных устройств на базе ОС Android.

Данная статья не об антивирусных компаниях и не для антивирусных компаний.
Статья — крик души разработчика, который видит, как в погоне за трафиком, деньгами и славой создается целая индустрия «независимых» тестов антивирусов, которая вводит в заблуждение миллионы потенциальных пользователей «тестируемых» продуктов.

Ботнет Cutwail теперь распространяет подобный набор эксплоитов и троян, которые успели инфицировать уже более 3,5 млн компьютеров.
Американское издание будет публиковать данные, переданные Сноуденом, если The Guardian больше не сможет этого делать.
Суд в Греции в четверг приговорил к 10 месяцам тюрьмы условно за оскорбление религий блогера Филлипоса Лоизоса — автора сатирической страницы «старца Пастиция» в Facebook.

Требования Роскомнадзора заблокировать ряд «экстремистских» сообществ из Украины вынудили администрацию «ВКонтакте» ввести так называемую «географическую сегрегацию» контента. Об сообщил анонимный источник, близкий к руководству соцсети.