Hlavní navigace

Domácí routery obchází nový strašák: chyba Misfortune Cookie

 Autor: Isifa
David Slížek 19. 12. 2014

Dvanáct let stará softwarová chyba podle bezpečnostní firmy Check Point ohrožuje i dnes několik milionů routerů. Důkazy o tom, že by ji někdo zneužil, ale nejsou.

Můžete to brát jako varování před další bezpečnostní dírou v domácích routerech, se kterou stejně sami nic neuděláte. A nebo jako předvánoční PR jedné bezpečnostní firmy. 

Izraelský Check Point oznámil, že v routerech objevil chybu, poeticky nazvanou Misfortune Cookie, která umožňuje útočníkům získat administrátorská práva a převzít nad zařízením kontrolu. Důsledkem může být podle firmy odposlouchávání internetového provozu či instalace malwaru. Žádná konkrétní zneužití chyby prý ale zatím společnost nezaznamenala.

Problém vězí v servisním softwaru RomPager, který je nainstalován v routerech řady výrobců. Chyba v tom, jak zachází s HTTP cookies, podle Check Pointu umožňuje útočníkům po zaslání speciálně upravených HTTP cookies získat správcovská práva u konkrétních sessions. 

Zarážející na tom je, že podle Check Pointu překvapivé množství poskytovatelů pro komunikaci s routery stále používá nešifrované spojení. 

Děravé routery

Jde přitom o chybu, která je známá nejméně od roku 2002 a výrobce RomPageru, firma AllegroSoft, ji podle svého vyjádření v roce 2005 opravila. Jenže: jak serveru Re/code přiznal zástupce společnosti, řada klientů (výrobců routerů) se zřejmě neobtěžovala opravenou verzi nainstalovat. Podle Check Pointu je tak i dnes ve světě teoreticky ohroženo na 12 milionů zařízení (tady je seznam potenciálně napadnutelných modelů). 

Celá kauza kolem Misfortune Cookie se tak dá brát jako připomenutí dlouho známé pravdy: domácí routery jsou děravé jako řešeto a chyb podobného typu zřejmě obsahují mnohem více. A dozvíme se o nich až ve chvíli, kdy si další bezpečnostní firma bude chtít zařídit bezplatné PR.

Jako uživatel se přitom proti podobným chybám v podstatě nemůžete bránit – kromě toho, že se snažíte mít nainstalovanou nejnovější verzi firmwaru (ovšem ruku na srdce, kdo z domácích uživatelů pravidelně kontroluje, zda je jeho domácí router updatovaný?). Nebo toho, že se odpojíte od internetu.

Našli jste v článku chybu?

19. 12. 2014 14:17

bb (neregistrovaný)

A problém má zase stejná parta: D-Link, TP-Link, Zyxel...

21. 12. 2014 14:02

Trident (neregistrovaný)

Pokud je uvnitr routeru treba linuxovy kernel, tak i po osekani je to sakra komplexni vec.
Spis jde o to jak je vyvoj kontrolovan,sle­dovan a testovan. Jakym zpusobem se hlida komplexita. U kritickych veci uz s americkym result oriented pristupem nepochodite. A neni tam ani mozne plne aplikovat agilni metodiky. Tam je i lepsi kdyz se to trochu zdrzi, nebot sankce za dodani spatneho reseni byvaji vyssi nez za nedodani k terminu. Jsou totiz na to navazane dalsi veci - pojisteni - audity - spadle l…

Podnikatel.cz: Přehledná titulka, průvodci, responzivita

Přehledná titulka, průvodci, responzivita

Podnikatel.cz: Prodává přes internet. Kdy platí zdravotko?

Prodává přes internet. Kdy platí zdravotko?

Vitalia.cz: Vláknina: Rozpustná, nebo nerozpustná?

Vláknina: Rozpustná, nebo nerozpustná?

Lupa.cz: UX přestává pro firmy být magie

UX přestává pro firmy být magie

Vitalia.cz: Jak koupit Mikuláše a nenaletět

Jak koupit Mikuláše a nenaletět

120na80.cz: 5 poporodních problémů a jejich řešení

5 poporodních problémů a jejich řešení

Podnikatel.cz: Víme první výsledky doby odezvy #EET

Víme první výsledky doby odezvy #EET

120na80.cz: Rovnátka, která nejsou vidět

Rovnátka, která nejsou vidět

DigiZone.cz: Recenze Westworld: zavraždit a...

Recenze Westworld: zavraždit a...

Měšec.cz: Golfové pojištění: kde si jej můžete sjednat?

Golfové pojištění: kde si jej můžete sjednat?

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

120na80.cz: Popraskané rty? Některé balzámy stav zhoršují

Popraskané rty? Některé balzámy stav zhoršují

Vitalia.cz: Znáte „černý detox“? Ani to nezkoušejte

Znáte „černý detox“? Ani to nezkoušejte

Podnikatel.cz: Přivýdělek u Airbnb nebo Uberu? Čekejte kontrolu

Přivýdělek u Airbnb nebo Uberu? Čekejte kontrolu

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

DigiZone.cz: Milan Kruml: procházka TV historií

Milan Kruml: procházka TV historií

Podnikatel.cz: Změny v daních z příjmů u zaměstnávání

Změny v daních z příjmů u zaměstnávání

Vitalia.cz: Tesco: Chudá rodina si koupí levné polské kuře

Tesco: Chudá rodina si koupí levné polské kuře

DigiZone.cz: Digi CZ výrazně zlevnila balíček HBO

Digi CZ výrazně zlevnila balíček HBO

Vitalia.cz: Manželka je bio, ale na sex moc není

Manželka je bio, ale na sex moc není