广告

美国黑客发现4G 路由设备漏洞,中兴、TP-LINK被点名

2019-08-14 16:30:12 阅读:
据 BleepingComputer 美国时间8月12日报道, Pen Test Partners 研究人员 G Richter 就在今年的 DEF CON 黑客大会上分享了自己在一些 4G 路由设备上找到的安全漏洞。在他看来,“市场上现售的许多 4G 调制解调器与路由器非常不安全,一旦被不法分子利用,很容易导致个人信息泄露或受到命令执行攻击。”

5G 时代都要来了,但令人糟心的是,4G 路由上的窟窿我们还没补完呢。eruednc

据 BleepingComputer 美国时间8月12日报道, Pen Test Partners 研究人员 G Richter 就在今年的 DEF CON 黑客大会上分享了自己在一些 4G 路由设备上找到的安全漏洞。在他看来,“市场上现售的许多 4G 调制解调器与路由器非常不安全,一旦被不法分子利用,很容易导致个人信息泄露或受到命令执行攻击。”eruednc

“我们在多家厂商的一系列设备中发现了可被利用的关键远程漏洞,而且对一个懂点技术的人来说,完全是得来全不费工夫。”Richter 解释道。“要知道,搞此类无线通讯技术的 OEM 商全球也就那几家,它们的软硬件可是会出现在每个人的日常生活中。”eruednc

雷锋网了解到,最可怕的是,这些漏洞几乎存在于各种价位的产品中,无论消费级路由还是企业级产品都中招了。eruednc

好在,Richter 发现问题后及时通报了这些厂家,在公布自己的研究成果前这些漏洞大多数都已完成修复。不过,也有些厂家态度不够端正。eruednc

中兴路由器漏洞

在 Richter 看来,各家路由厂商中最让人头疼的是中兴(ZTE)。在获知漏洞信息后,它们居然懒得修复,直接将 MF910 和 MF65+ 两款路由产品放在了“生命周期结束”一栏,拒绝提供技术支持。不过,该公司网站上可没有“抛弃”MF910 的消息。eruednc

随后,Richter 又测试了另一款名为 MF920 的中兴路由器,它与前代产品分享同一个代码库,因此暴露了几乎一样的漏洞。这次,中兴只能乖乖选择修复。eruednc

如果你用的是 MF910 和 MF65+,遇上下面问题只能自求多福了。eruednc

  1. 管理员密码可能会泄露(预认证)。
  2. 排故端点非常容易受到命令注入攻击(后认证)。
  3. 在完全未使用的“测试页面”还是会存在跨站脚本攻击。

“如果将这些漏洞连起来,只要诱骗用户访问恶意网页,黑客就可在路由器上执行任意代码。”Richter 补充道。要想详细了解 MF910 的相关漏洞分析,可以访问 HERE 网站。eruednc

至于 MF920 的问题,则可查询以下两个 CVE:eruednc

  • CVE-2019-3411 – 信息泄露
  • CVE-2019-3412 – 任意命令执行

网件和 TP-LINK 也没跑

网件和 TP-LINK 的 4G 路由也没逃过 Pen Test Partners 研究人员的法眼,它们一共被开了 4 个  CVE。eruednc

就拿网件 Nighthawk M1 移动路由来说,如果不设定个复杂的密码,它不但会受到跨站伪造请求攻击(CVE-2019-14526),还有后认证命令注入攻击(CVE-2019-14527)的危险。eruednc

黑客攻击的方法与上面类似,也是诱导用户访问恶意页面。除此之外,Richter 还详细讲述了如何破掉网件固件加密的方法。eruednc

TP-LINK 的 M7350 4G LTE 移动路由也有问题,它比较容易受到命令注入攻击,为此还被开了下面两个 CVE:eruednc

  • CVE-2019-12103 – 预认证命令注入
  • CVE-2019-12104 – 后认证命令注入

“随着无线网络的不断进步,许多对带宽要求不高的用户已经开启全面 4G 生活了。”Richter 说道。“不过,现下销售 4G 路由器的制造商们确实没那么上心,5G 时代来临后可怎么办啊。”eruednc

(来源:雷锋网)eruednc

  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
  • 商务部暂停天然砂对台湾地区出口,台积电难受了 据EDN电子技术设计了解,商务部网站8月3日早晨8点发布最新消息,表示将从即日起暂停天然砂对台湾地区出口。不少网友认为暂停天然砂对台湾地区的出口,此举将严重影响台湾的建筑业,实则影响不仅仅如此。台湾地区天然砂进口量的90%以上来自大陆,而台湾芯片占台湾2021年出口额的34.8%。网友称商务部暂停天然砂对台湾地区出口是捏到了台湾半导体制造业的七寸。
  • 华盛顿大学首创用人体热能为可穿戴电子设备供电 从健康和健身追踪器到虚拟现实设备,可穿戴电子产品已成为我们日常生活的一部分,但找到持续为这些设备供电的方法是一项挑战。华盛顿大学的研究人员开发了一种创新的解决方案:首创的柔性、可穿戴热电设备,可将体热转化为电能。
  • 深圳允许完全自动驾驶车辆上路,主驾无需坐人 据EDN电子技术设计引援央视财经报道,从8月1日开始,《深圳经济特区智能网联汽车管理条例》正式实施,智能网联汽车列入国家汽车产品目录或者深圳市智能网联汽车产品目录,这也让深圳成为了国内首个允许L3级别自动驾驶车辆合法上路的城市。
  • 理想ONE高速起火烧成光架,其1.2T三缸增程器曾被指隐藏 近期,网络平台上发布了一段理想ONE在行驶过程中,车辆出现起火的视频内容。现场拍摄的灭火后图片显示,该轿车过火后仅剩骨架,车辆前部增程器位置受损严重,车辆尾门已经在过火后从车身主体脱落。此前,曾有国内汽车媒体对一台行驶了10万公里的理想ONE的东安1.2T三缸增程发动机进行拆解,被指隐藏暗病。
  • 上海微系统所使用石墨烯纳米带研制出世界上最小尺寸的 非易失性相变随机存取存储器(PCRAM)被认为是大数据时代新兴海量存储的有希望的候选者之一。然而,相对较高的编程能量阻碍了 PCRAM 中功耗的进一步降低。利用石墨烯的窄边接触可以有效降低每个电池中相变材料的活性体积,从而实现低功耗运行。
  • 可解决工业自动化和IIoT挑战的MCU 工业自动化和工业物联网(IIoT)设计人员的性能要求不断变化。就MCU而言,他们希望获得更快的处理速度、更多的内存、更好的连接性和更多的安全功能。
  • 我国建成开通5G基站数达185.4万个 工信部近日透露,截至2022年6月底,中国5G基站数达到185.4万个,其中二季度新增基站近30万个,已建成全球规模最大、技术领先的网络基础设施,实现“县县通5G、村村通宽带”。。
  • 苹果发布2022财年第三财季业绩,营收829.59亿美元 Apple 今日公布了 2022 年第三财季的财务业绩。报告显示,苹果公司第三财季公布收入为 829.59亿美元,去年同期为 814 亿美元,同比增长2%;季度净利润为 194 .4亿美元,去年同期为217 亿美元,同比下降10.6%;其中,iPhone带来的营收406.7亿美元,同比增长3%。
  • 工程师开发出可以看到身体内部的贴纸 麻省理工学院的工程师设计了一种贴片,可以产生身体的超声图像。这种邮票大小的设备贴在皮肤上,可以提供 48 小时内脏器官的连续超声成像。
  • 美国参议院批准价值2460亿美元的芯片法案 美国参议院周三通过立法,以超过 750 亿美元支持国内半导体产业。GlobalFoundries、英特尔、三星代工厂、德州仪器、台积电和其他在美国建立半导体制造设施的公司或将受益。
  • 第三代半导体——碳化硅材料之制程与分析 SiC功率电子是加速电动车时代到来的主要动能。以SiC MOSFET取代目前的Si IGBT,不仅能使电力移转时的能源损耗降低80%以上,同时也可让芯片模块尺寸微缩至原本的1/10,达到延长电动车续航里程及缩短充电时间的功效。
  • 开源软件真的可靠吗? 乍看之下,采用开源软件似乎是个不错的办法,但归根究底,开源软件有几个特性可能会使其变得“邪恶”...
广告
热门推荐
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了