В популярной серии беспроводных маршрутизаторов Asus RT-N10E устранена опасная уязвимость (http://www.kb.cert.org/vuls/id/984366) (CVE-2013-3610), позволяющего злоумышленнику получить доступ к конфигурации устройства без прохождения аутентификации. Доступ к информации может быть получен через запрос страницы http://IP-устройства/qis/QIS_finish[.]htm, после чего без запроса логина и пароля будет выведено содержимое БД с конфигурацией маршрутизатора, включающей, в том числе, хранящийся в открытом виде пароль для входа с правами администратора.
Проблема устранена в прошивке 2.0.0.25 (http://www.asus.com/Networking/RTN10E/#support_Download). Опасность уязвимости уменьшает то, что по умолчанию доступ к web-интерфейсу открыт только для локальной сети.URL: http://threatpost.com/router-flaw-could-disclose-sensitive-c...
Новость: http://www.opennet.me/opennews/art.shtml?num=38100
>хранящийся в открытом виде пароль для входа с правами администратора.Ай молодца, про хэши они, конечно, не слышали.
Интересно, когда они начнут хранить пароли авторизации в хешированном с солью виде? (риторический вопрос)
В хомячковых девайсах это не обязательно ))
Что-нить действительно безопасное до 2000 разве выпускают? (не считая кастомных прошивок)
> Интересно, когда они начнут хранить пароли авторизации в хешированном с солью виде?
> (риторический вопрос)а это не пароль ;)
это строка текста, которая при загрузке используется для установки пароля с помощью passwd, и поэтому здесь не может быть хэш
Ну вот, спалили АНБшный универсальный логин :). AWARD_SW 2.0: теперь с веб-интрфейсом!
Это была не уязвимость, а фича! Этож домашний рутер. Забыл вот ты, такой, пароль админский - взял да и посмотрел... А теперь придется в дефолт и перенастраивать...
> Это была не уязвимость, а фича! Этож домашний рутер.Это что, повод не ставить на дверь замок? И вообще, оставить ее открытой. Вдруг кто зайти захочет. Это же не охраняемый объект, а всего лишь хомячковая хата...
Интересно как насчет других моделей? Надо по приходу домой на своем RT-65N затестить.
на RT-N10.B1 не сработало
И меня еще спрашивают, зачем я парюсь с dd-wrt/openwrt.
парится? по моему у dd-wrt значительно более дружелюбный интерфейс чем на всех этих дефолтных прошивках
А опенврт вообще крут: может работать с мультизонными сетями, позволяет настроить вланы, как между всем этим трафф гонять и прочая. В реалтайме показывает что и где к вайфаю прицеплено, какая модуляция, сигнал/шум, скорость. Можно графики реалтаймные смотреть, а парой кликов - и RRDTool'ная более долговременная статистика делается. Правда хрен там знает как оно с асусом с их любовью к кривому броадкому, а на всем что на атеросе (например большинство tp-link) оно рулит просто неимоверно.
оффтопик, а на каком железе с openvrt приятнее работать? (Извиняюсь за такой получёткий и полухоливарный вопрос, но всё же.)
Я специально под OpenWRT взял 3 штуки TP-LINK TL-WR740N по 15$ . Места под дополнительные программы не много и памяти не густо, но за такие деньги не удивительно. А так все работает супер, уже 4 месяца и ни-одной проблемы.
из личного опыта могу посоветовать не жадничать на цпу и флешовое место. их всегда мало и нехватает