125 Kelemahan Baru Ditemukan pada Router dan Perangkat NAS dari Merek Populer

Dunia elektronik konsumen yang terhubung, IoT, dan perangkat pintar tumbuh lebih cepat dari sebelumnya dengan puluhan miliar perangkat yang terhubung streaming dan berbagi data secara nirkabel melalui Internet, tetapi seberapa aman itu?

Saat kami menghubungkan semuanya dari pembuat kopi hingga kunci pintu depan dan mobil ke Internet, kami menciptakan lebih banyak cara potensial – dan mungkin lebih berbahaya – bagi peretas untuk menimbulkan kekacauan.

Percayalah, ada lebih dari 100 cara yang dapat dilakukan peretas untuk menghancurkan hidup Anda hanya dengan mengkompromikan router nirkabel Anda – perangkat yang mengontrol lalu lintas antara jaringan lokal Anda dan Internet, mengancam keamanan dan privasi berbagai perangkat nirkabel, dari komputer dan telepon ke Kamera IP, TV pintar dan peralatan yang terhubung.

Dalam studi terbarunya yang berjudul "SOHOpelessly Broken 2.0," Independent Security Evaluators (ISE) menemukan total 125 kerentanan keamanan yang berbeda di 13 router kantor / rumah kantor kecil (SOHO) dan perangkat Network Attached Storage (NAS), kemungkinan mempengaruhi jutaan.

Daftar Vendor Router yang Terkena Dampak

Perute SOHO dan perangkat NAS yang diuji oleh para peneliti berasal dari pabrikan berikut:

• Kerbau
• Synology
• TerraMaster
• Zyxel
• Drobo
• ASUS dan anak perusahaannya Asustor
• Seagate
• QNAP
• Lenovo
• Netgear
• Xiaomi
• Zioncom (TOTOLINK)

Menurut peneliti keamanan, semua 13 perangkat yang banyak digunakan yang mereka uji memiliki setidaknya satu kerentanan aplikasi web yang dapat memungkinkan penyerang jarak jauh untuk mendapatkan akses shell jarak jauh atau akses ke panel administratif perangkat yang terkena dampak.

Kerentanan ini berkisar dari cross-site scripting (XSS), pemalsuan permintaan lintas situs (CSRF), buffer overflow, injeksi perintah sistem operasi (OS CMDi), bypass otentikasi, injeksi SQL (SQLi), dan kerentanan jalur pengunggahan file unggahan file.

Kontrol Penuh Atas Perangkat Tanpa Otentikasi

Para peneliti mengatakan mereka berhasil mendapatkan cangkang root pada 12 perangkat, yang memungkinkan mereka untuk memiliki kontrol penuh atas perangkat yang terpengaruh, 6 di antaranya berisi kelemahan yang akan memungkinkan penyerang untuk mendapatkan kontrol penuh atas perangkat dari jarak jauh dan tanpa otentikasi.

Router bisnis dan rumahan yang terpengaruh adalah Asustor AS-602T, Buffalo TeraStation TS5600D1206, TerraMaster F2-420, Drobo 5N2, Netgear Nighthawk R9000, dan TOTOLINK A3002RU.

Laporan baru ini, SOHOpelessly Broken 2.0, adalah studi lanjutan, SOHOpelessly Broken 1.0, yang diterbitkan oleh perusahaan keamanan ISE pada 2013, ketika mereka mengungkapkan total 52 kerentanan di 13 router SOHO dan perangkat NAS dari vendor termasuk TP-Link, ASUS, dan Linksys.

Sejak SOHOpelessly Broken 1.0, para peneliti mengatakan mereka menemukan beberapa perangkat IoT yang lebih baru yang menerapkan beberapa mekanisme keamanan yang bermanfaat, seperti pengacakan tata letak ruang-alamat (ASLR), fungsionalitas yang menghambat rekayasa balik, dan mekanisme verifikasi integritas untuk permintaan HTTP.

Namun, beberapa hal belum berubah sejak SOHOpelessly Broken 1.0, seperti banyak perangkat IoT masih kekurangan fitur perlindungan aplikasi web dasar, seperti token anti-CSRF dan header keamanan browser, yang dapat sangat meningkatkan postur keamanan aplikasi web dan sistem yang mendasari mereka berinteraksi dengan.

Peneliti ISE secara bertanggung jawab melaporkan semua kerentanan yang mereka temukan kepada produsen perangkat yang terpengaruh, yang sebagian besar segera merespons dan telah mengambil langkah-langkah keamanan untuk mengurangi kerentanan ini, yang telah menerima Id CVE.

Namun, beberapa produsen perangkat, termasuk Drobo, Buffalo Americas, dan Zioncom Holdings, tidak menanggapi temuan para peneliti.