D-Link kündigt an, keine Sicherheitsupdates für 60.000 ältere Modems bereitzustellen

 (techradar.com)
1 Punkte von GN⁺ 2024-11-28 | 1 Kommentare | Auf WhatsApp teilen
  • In D-Link-DSL6740C-Modems wurden mehrere kritische Schwachstellen entdeckt. Da das Produkt das Ende seines Lebenszyklus erreicht hat, wird statt eines Patches der Austausch gegen ein aktuelleres Modell empfohlen
  • Unter den vom Sicherheitsforscher Chaio-Lin Yu entdeckten Schwachstellen hat CVE-2024-11068 einen Schweregrad von 9,8; über privilegierten API-Zugriff lässt sich das Passwort ändern
  • Im selben Modell gibt es außerdem die Path-Traversal-Schwachstelle CVE-2024-11067 und die Schwachstelle CVE-2024-11066 für Remote Code Execution; ihre Schweregrade liegen bei 7,5 bzw. 7,2
  • Rund 60.000 anfällige Geräte sind im Internet exponiert, die meisten davon in Taiwan. Das DSL6740C erreichte vor etwa einem Jahr EoL und wurde in den USA nicht verkauft
  • Falls ein sofortiger Austausch schwierig ist, sollten Remote-Zugriff eingeschränkt und sichere Passwörter gesetzt werden; Router sind ein von Angreifern häufig ins Visier genommener Endpoint

DSL6740C: Austausch statt Patch empfohlen

  • Mehrere wichtige Sicherheitslücken in älteren Routern und Modems von D-Link könnten es Angreifern ermöglichen, Geräte zu übernehmen
  • D-Link erklärte, dass die betroffenen Geräte das Ende ihres Lebenszyklus (EoL) erreicht haben und keine Korrektur-Patches bereitgestellt werden; stattdessen sollen sie durch neuere Modelle ersetzt werden
  • Der Fall folgt kurz auf eine Situation, in der bei D-Link-NAS-Geräten CVE-2024-10914 entdeckt wurde, aber wegen EoL kein Patch bereitgestellt wurde
    • CVE-2024-10914 war eine Command-Injection-Schwachstelle mit einem Schweregrad von 9,2

Entdeckte wichtige CVEs

  • Der Sicherheitsforscher Chaio-Lin Yu (Steven Meow) entdeckte drei Schwachstellen im D-Link-DSL6740C-Modem
    • CVE-2024-11068: Schweregrad 9,8; über privilegierten API-Zugriff kann ein Angreifer das Passwort ändern
    • CVE-2024-11067: Path-Traversal-Schwachstelle, Schweregrad 7,5
    • CVE-2024-11066: Remote-Code-Execution-(RCE)-Schwachstelle, Schweregrad 7,2
  • Im selben Modell gibt es zusätzlich vier hochriskante Command-Injection-Schwachstellen
    • CVE-2024-11062
    • CVE-2024-11063
    • CVE-2024-11064
    • CVE-2024-11065
  • Diese zusätzlichen Schwachstelleninformationen basieren auf einem Bericht von BleepingComputer unter Berufung auf das taiwanische Computer-Incident-Response-Center TWCERTCC

Umfang und Region der Exposition

  • Derzeit sind rund 60.000 anfällige Geräte mit dem Internet verbunden
  • Die meisten anfälligen Geräte befinden sich in Taiwan
  • Das Modell DSL6740C erreichte vor etwa einem Jahr EoL und wurde in den USA nicht verkauft

Reaktion von D-Link

  • D-Link erklärte, die betreffende Schwachstelle nicht beheben zu wollen
  • Das Unternehmen empfiehlt, D-Link-Geräte, die EoL/EOS erreicht haben, auszusondern und zu ersetzen
  • Die offizielle Empfehlung ist nicht das Einspielen eines Patches, sondern der Austausch der Hardware

Vorübergehende Maßnahmen vor dem Austausch

  • Nutzer, die ihren Router nicht sofort ersetzen können, sollten zumindest den Remote-Zugriff einschränken
  • Zugriffspasswörter sollten sicher gesetzt werden
  • Da Router zu den am häufigsten angegriffenen Endpoints gehören, sollten diese Maßnahmen das Risiko einer Kompromittierung verringern

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-11-28
Hacker-News-Kommentare

  • Ich bringe mal den Artikel-Link für Leute, die lieber lesen als Videos schauen: https://www.techradar.com/pro/security/d-link-says-it-wont-p...
    D-Link hat schon lange eine Vorgeschichte damit, unsichere oder mit Backdoors versehene Geräte auf den Markt zu bringen, daher fahren Nutzer von D-Link-Geräten vermutlich besser damit, etwas anderes zu kaufen.

    • Unmanaged Switches könnten eine Ausnahme sein. Die kleinen unmanaged Switches von D-Link sind wirklich robust, ich nutze mehrere davon, die so alt sind, dass ich mich nicht einmal mehr erinnere, wann ich sie gekauft habe.
      Offenbar hat D-Link es nicht einmal geschafft, unmanaged Switches zu ruinieren, aber angesichts ihrer Haltung zur Sicherheit werde ich künftig wohl trotzdem nichts mehr von D-Link kaufen.
    • Nicht sarkastisch gemeint, aber ich dachte nicht, dass D-Link überhaupt noch ein wichtiger Anbieter ist. Vor etwa 20 Jahren war es nach Linksys und Netgear eine Consumer-Marke in den Top 3, heute wirken Eero, ASUS, Netgear, Linksys, TP-Link, Google wie der Mainstream.
      In den letzten 10 Jahren habe ich weder im Laden noch online noch in realen Umgebungen D-Link-Produkte gesehen. Auf der Website sieht es so aus, als gäbe es das Geschäft noch, aber offenbar kauft es einfach niemand.
    • Weitere 60.000 Geräte sind nun in einem perfekten Zustand, um Teil eines Botnets böswilliger Akteure zu werden.

  • Wenn man nach Alternativen mit Langzeit-Support sucht, habe ich mit Ubiquiti (UniFi) und OpenWRT nur gute Erfahrungen gemacht. Im günstigen Segment bieten von OpenWRT unterstützte Geräte ein hervorragendes Preis-Leistungs-Verhältnis, und die meisten werden voraussichtlich noch jahrzehntelang unterstützt.
    Allgemeiner gesehen geht es nicht nur um Support-Zusagen, sondern auch um den Ruf eines Unternehmens, solide Software zu liefern. Es ist eine Frage der a-priori-Wahrscheinlichkeit, dass so etwas passiert, nachdem ein Produkt das Support-Ende erreicht hat.

    • Nicht unbedingt. Neue Releases von OpenWRT benötigen nach und nach etwas mehr Speicherplatz und RAM als früher, und günstige Geräte sind meist mit dem absolut minimalen Flash- und RAM-Ausbau bestückt.
      Ältere Geräte mit 4 MB Speicher oder 32 MB RAM können aktuelles OpenWRT bereits nicht mehr ausführen, und auch Geräte mit 8 MB Flash oder 64 MB RAM werden nach und nach aussortiert. Trotzdem unterstützt OpenWRT Geräte darüber hinaus in der Regel deutlich länger als der ursprüngliche Support-Zeitraum.
    • Was Langzeit-Support angeht, kann man selbst für einen etwa 15 Jahre alten Netgear WNDR3700v2 noch die aktuelle offizielle OpenWrt-Version bekommen.
      https://firmware-selector.openwrt.org/?version=23.05.5&targe...
      https://openwrt.org/toh/netgear/wndr3700
      Wenn ich einen Router kaufe, schaue ich zuerst nach, welche Modelle zu diesem Zeitpunkt den besten OpenWrt-Support haben, und ob ich auf eBay ein oder mehrere Geräte zu einem guten Preis bekommen kann. Etwa WRT54-GL, WNDR3700(v2,v4), WNDR3800 oder Netgear R7800.
      Ich evaluiere auch OPNsense-Hardware, aber OPNsense (FreeBSD) ist bei WiFi nicht besonders stark, daher braucht man zusätzlich einen separaten WiFi-AP mit OpenWrt. Ein einzelner OpenWrt-R7800 erledigt derzeit alles, was ich brauche, und mir gefällt die zusätzliche Komplexität nicht.
    • An diesem Punkt halte ich OpenWRT für den richtigen Ansatz. Open Source ist besonders stark, wenn alle ein gemeinsames Interesse teilen. Wir alle haben ein Interesse an sicheren Netzwerken.
      Router-Firmware kommerziell abzuschotten ergibt keinen Sinn. Hersteller sollten einfach auf OpenWRT umsteigen und nur noch ihr eigenes Branding darüberlegen.
    • OpenBSD funktioniert für diesen Einsatzzweck ebenfalls sehr gut.
    • MikroTik hat ebenfalls einige günstige Geräte, und ich nutze noch immer ein paar „abgekündigte“ Produkte, die über 10 Jahre alt sind und weiterhin Updates bekommen.
      Releases werden dort nicht für ein einzelnes Gerät, sondern auf Ebene von CPU-Architektur oder Chipsatz veröffentlicht, daher habe ich in der Praxis wohl noch nie ein Gerät erlebt, dessen Support eingestellt wurde, bevor ich es wegen schnellerer Netzwerkanforderungen ersetzt habe. Zum Beispiel beim Wechsel von 10/100 auf 1000 oder von 802.11bgn zu 802.11n bzw. 802.11ac.
      Viele davon werden auch von OpenWRT unterstützt.

  • Das ist ein Problem, das die EU-Produkthaftungsrichtlinie potenziell abdeckt. Verkäufer oder Importeure müssen Updates bereitstellen, wenn sie erforderlich sind, um die Sicherheit eines Produkts aufrechtzuerhalten; andernfalls können sie schadensersatzpflichtig werden, sogar für immaterielle Schäden.
    In der Richtlinie ist kein konkreter Zeitraum festgelegt, daher ist es aus Sicht des Verkäufers vermutlich am besten, Informationen zur Produktlebensdauer von Anfang an in die Produktbeschreibung oder den Vertrag aufzunehmen.
    In Deutschland gibt es bereits etwas Ähnliches, und es besteht die Erwartung, dass Produkte und die zu ihrem Betrieb nötigen Apps im Durchschnitt 5 Jahre lang aktualisiert werden.

    • Die Richtlinie enthält eine ausdrückliche Ablauffrist von 10 Jahren. Siehe (57).
      „Produkte unterliegen im Laufe der Zeit der Alterung, und im Zuge des wissenschaftlichen und technologischen Fortschritts werden strengere Sicherheitsstandards entwickelt. Daher wäre es nicht vernünftig, Hersteller zeitlich unbegrenzt für Mängel ihrer Produkte haftbar zu machen. Die Haftung sollte daher auf einen angemessenen Zeitraum beschränkt sein, nämlich 10 Jahre ab dem Inverkehrbringen des Produkts oder der Inbetriebnahme des Produkts, je nachdem, welcher Zeitpunkt später liegt (‚Ablauffrist‘), unbeschadet anhängiger Gerichtsverfahren.“
      https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A...
    • Das betreffende D-Link DSL6740C wurde 2014 veröffentlicht und ist damit längst über seine Lebensdauer hinaus. Bei der PLD bin ich mir nicht sicher, aber der CRA gilt nur für die Produktlebensdauer oder etwa 5 Jahre, je nachdem, welcher Zeitraum kürzer ist.
      „Beim Inverkehrbringen eines Produkts mit digitalen Elementen hat der Hersteller sicherzustellen, dass Schwachstellen dieses Produkts während der erwarteten Produktlebensdauer oder für einen Zeitraum von fünf Jahren nach dem Inverkehrbringen des Produkts, je nachdem, welcher Zeitraum kürzer ist, gemäß den wesentlichen Anforderungen in Anhang I Abschnitt 2 wirksam behandelt werden.“

  • Den Kontext, auf dem dieser Bug beruht, kann man hier sehen: https://www.youtube.com/watch?v=-vpGswuYVg8 -- objektiv auf einem kaum verzeihlichen Niveau

    • Kurz gesagt wird GET /cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;;%27 aufgerufen
      account_mgr.cgi selbst ist sicher und nimmt die Web-Parameter name, pw entgegen und führt einen Aufruf entsprechend execlp(..., "account", "-u", name, "-p", pw); aus
      Das jedoch vom Praktikanten geschriebene "account" führt sprintf(buf, "adduser \"%s\" -p \"%s\" >/dev/null", opt_u, opt_p); system(buf); aus

  • Ich hatte jahrelang eine Kiste mit alten WiFi-Routern und wollte sie irgendwann rückentwickeln und einen Blogpost über Schwachstellen schreiben, um zu zeigen, wie miserabel die Softwarequalität bei Geräten ist, die man im örtlichen Elektronikladen kauft
    Der Hersteller stellte keine Updates mehr bereit, sodass man alle 3 bis 4 Jahre ein neues Produkt kaufen musste, und selbst bei höherwertigen Produkten war es genauso
    Ich bin zwar schon vor fast 10 Jahren direkt zu einem Ubiquiti Edge Router gewechselt, aber auch Ubiquiti hat sich langfristig nicht gut geschlagen und die EdgeRouter/EdgeMAX-Linie aufgegeben. Deshalb interessierte mich die Unifi-Router/Firewall-Linie nicht, ich kaufte eine Protectli-Box, spielte coreboot auf und nutzte pfSense, bevor ich schließlich zu OPNSense wechselte
    In dieser Zeit bin ich zu dem Schluss gekommen, dass Netzwerkgeräte für Verbraucher im Grunde genommen Müll sind. Wer sich auch nur ein wenig um Sicherheit kümmert, sollte sie nicht verwenden, aber für nichttechnische Menschen ist das leichter gesagt als getan
    Auf viel älterer oder günstiger Hardware kann man OpenWRT installieren, daher empfehle ich das als billigste Option für Leute, denen Sicherheit zumindest ein wenig wichtig ist, die aber keine neue Hardware kaufen möchten. Wer es ernsthafter angehen will, sollte Hardware kaufen, auf der sich ein ordentlich gepflegtes Router-OS wie pfSense oder OPNSense betreiben lässt, und wenn man nicht gleich ein ganzes SMB-Netzwerk aufbauen will, geht auch ein All-in-one-Gerät aus WiFi, Router und Switch

    • Ubiquiti war früher großartig, hat aber die Richtung geändert. Jetzt ist eher MikroTik der neue Hoffnungsträger

  • Falls man eines dieser Modelle besitzt, gibt es diese Möglichkeit
    https://openwrt.org/toh/d-link/start

    • Die meisten betroffenen Modelle konnte ich dort nicht finden, und selbst die Seiten der Modelle, die ich gefunden habe, waren voller Warnungen, dass die OpenWrt-Unterstützung seit 2022 veraltet sei oder dass 4 MB Flash und 32 MB RAM für irgendetwas Nützliches nicht ausreichen

  • Das ist nur Gemecker, und ich weiß, dass es inhaltlich nicht besonders direkt mit der Hauptaussage zu tun hat, dass D-Link den Support für die Produkte einstellt, aber Schwachstellen mit 9,8 oder 9,2 Punkten gibt es in Wahrheit praktisch nicht
    Ich glaube, in der Bewertungsskala von Pitchfork von 0,0 bis 10,0 steckt mehr echte Wissenschaft als bei CVSS

    • Ich weiß nicht, was die Pitchfork-Skala sein soll. Selbst bei einer Suche danach finde ich keine nützlichen Ergebnisse dazu, ob das überhaupt eine echte Skala ist

  • Schade, dass die UI von MikroTik-Routern nur für fortgeschrittene Nutzer geeignet ist
    Sonst wären sie perfekt. Günstig und praktisch auf Dauer unterstützt. Das Geheimnis scheint zu sein, dass für alle Router mit derselben CPU-Architektur ein einziges Firmware-Image verwendet wird

  • Das ist nur möglich, weil man nicht die volle Verantwortung für Umweltverschmutzung, Energieverbrauch und Müll tragen muss; es ist also eine verschwenderische Entscheidung
    Wenn man die vollständigen Kosten der Wiederherstellung der Umwelt, die Gesamtkosten der Energie und die Kosten für die sorgfältige Entsorgung ungeeigneter Hardware tragen müsste, sähe die Entscheidung anders aus

    • Ich finde, wenn der Support für ein Gerät endet, sollte das Unternehmen gesetzlich verpflichtet sein, den Quellcode dieses Geräts offenzulegen

  • Fairerweise muss man sagen, dass CVE-Bewertungen bei der Einschätzung der tatsächlichen Auswirkungen von Sicherheitslücken meistens nicht besonders nützlich wirken. Bei CUPS waren es auch 9,9 Punkte, aber für viele Menschen war das völlig irrelevant

    • Bei NPM-Warnungen ist es ähnlich. Es wird immer so getan, als gäbe es Milliarden extrem kritischer Schwachstellen, aber wenn man genauer hinschaut, läuft es oft auf etwas hinaus wie: „Wenn man einen bösartigen regulären Ausdruck in die eigene Konfigurationsdatei einträgt, hängt sich der JS-Linter auf“
    • Das hier ist eine Befehlsinjektion über ein simples GET und verschafft sofort Root-Zugriff. Das verdient eine hohe Bewertung
      Heutige Browser blockieren wahrscheinlich private IP-Adressen in URLs, aber in den letzten 10 bis 13 Jahren gab es definitiv Browser, bei denen schon der Besuch einer Webseite dazu führen konnte, dass ein NAS in einem Botnetz landete
    • Bei einer CVE mit 9,8 Punkten für ein direkt ans WAN angeschlossenes Ziel ist das definitiv sehr übel
    • Ich verstehe, was gemeint ist, aber in der Praxis kümmern sich die Leute nicht genug um Sicherheit, obwohl sie es sollten. Deshalb finde ich das persönlich in Ordnung
      Ich würde lieber in einer Welt leben, in der Menschen zu viel Zeit auf Sicherheit verwenden, als in einer, in der sie es zu wenig tun
    • Das Problem ist die Art, wie mit solchen Detailfaktoren umgegangen wird. Der Komplexitätswert soll eigentlich Szenarien abbilden, die „eine bestimmte Konfiguration erfordern“, aber niemand wird ernsthaft dazu gedrängt, die eigenen Einträge korrekt zu bewerten