数百万人都在使用的9款无线路由器易受226个缺陷影响
编译：代码卫士
安全研究员分析了9款热门WiFi 路由器，从中共发现了226个潜在漏洞，甚至运行最新固件的路由器中仍然存在这些漏洞。测试的路由器为华硕、AVM、D-Link、网件、Edimax、TP-Link、Synology和Linksys，这些路由器的用户总数达数百万人。
从漏洞数量来讲，包含漏洞最多的是 TP-Link Archer AX6000（32个），其次是包含30个漏洞的 Synology RT-2600ac。
IoT Inspector 公司的研究员和 CHIP 杂志协作执行安全测试，主要关注的是主要由小型企业和家庭用户使用的型号。该公司的首席技术官兼创始人 Florian Lukavsky 表示，“厂商为 Chip 路由器评估提供了当前型号信息，目前这些型号已升级至最新固件版本。IoT Inspector 公司自动分析了这些固件版本并查看了5000多个CVE漏洞和其它安全问题。”
研究人员的研究显示，很多路由器仍易受公开披露漏洞的影响，即使使用了最新固件的路由器也不例外。
虽然漏洞带来的风险各不相同，但研究人员发现了影响多数所测试型号的常见问题：
固件中过时的 Linux 内核
过时的多媒体和VPN功能
过于依赖 BusyBox 老旧版本
使用默认弱密码如 “admin”
硬编码凭证以明文形式呈现
IoT Inspector 公司的首席执行官 Jan Wendenburg 注意到保护路由器的最重要的一个方法是首次配置设备时更改默认密码。
Wendenburg 解释称，“首次使用时就更改密码并启用自动更新功能必须成为所有 IoT 设备的标准实践，而不管设备是用于家庭还是企业网络。除了厂商引发的漏洞外，最大的危险在于以 ‘即插即用即忘‘的方法使用IoT 设备。”
研究人员并未发布技术详情，而只是给出了关于提取 D-Link 路由器固件镜像的加密密钥的案例说明。研究人员发现获取 D-Link DIR-X1560 上本地权限的方法并通过物理 UART 调试接口获得 shell 访问权限。
然后，研究人员使用内置 BusyBox 命令转储了整个文件系统，之后定位负责解密例程的二进制。通过分析对应变量和功能，研究人员最终提取了用于固件加密的AES密钥。
威胁行动者可使用该加密密钥发送恶意固件镜像更新，通过设备的验证检查，从而可能在路由器上植入恶意软件。
虽然可通过保护本地存储镜像的全磁盘加密方式解决这些问题，但这种做法并不常见。
所有受影响制造商均对研究成果做出响应并发布了固件补丁。
CHIP 杂志的作者 Jörg Geiger 评论称路由器厂商解决了工作组识别出的大部分安全缺陷但并未解决全部缺陷。
研究人员表示，未修复缺陷多数是重要程度低的漏洞。然而，他们指出并未开展后续检查来确认安全更新是否修复了已报告漏洞。
相关厂商对CHIP的响应如下；
华硕：华硕详细查看了分析报告并给出详细答复。华硕已修复过时的 BusyBox 版本，并更新了 “curl” 和 web 服务器。华硕指出密码问题是由于进程终止时删除的临时文件造成的，并不会带来风险。
D-Link：D-Link 致谢研究员并发布固件更新修复这些漏洞。
Edimax：Edimax 似乎并未投入太多时间查看漏洞，不过最终发布固件更新修复了其中的某些漏洞。
Linksys：Linksys 将漏洞分为“高危”和“中危”两类，他们将在未来避免使用默认密码；该公司发布固件更新修复了余下漏洞。
网件：网件仔细查看了这些漏洞问题，认为其中一些“高危“漏洞并非问题。同时该公司为 DNSmasq 和 iPerf 开展了更新，之后该公司将受限查看余下漏洞问题。
Synology：Synology 为 Linux 内核发布重要更新解决这些问题。该公司将更新 BusyBox 和 PHP 版本并清理这些证书。巧合的是，不仅是路由器而且其它 Synology 设备也会因此受益。
TP-Link：该公司更新了 BusyBox、CURL 和 DNSmasq，解决了很多问题。虽然并不存在内核，但该公司仍然计划为操作系统发布50多个解决方案。
建议使用如上路由器设备的用户应用可用安全更新，启用“自动更新“功能，并将默认密码更改为唯一且强壮的密码。此外，如不常用，则用户应禁用远程访问权限、UPnP 和 WPS（WiFi 受保护设置）功能。
目前制造商尚未置评。
Bouncy Castle 加密库修复高危的认证绕过漏洞
速更新！流行的开源邮件客户端 Mozilla Thunderbird 91.3修复多个高危缺陷
Mozilla 加大火狐浏览器漏洞奖励力度
Mozilla 扩大漏洞奖励计划，奖励金为原来的三倍
https://www.bleepingcomputer.com/news/security/nine-wifi-routers-used-by-millions-were-vulnerable-to-226-flaws/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。