D-Link annonce qu’il ne fournira pas de correctifs de sécurité pour 60 000 anciens modems

• Vulnérabilités découvertes par des chercheurs en sécurité

  • De graves vulnérabilités de sécurité ont été découvertes dans d’anciens modems D-Link.
  • D-Link recommande une mise à niveau matérielle au lieu de corriger ces vulnérabilités.
  • Environ 60 000 appareils vulnérables existent, la plupart situés à Taïwan.

• Réponse de D-Link

  • D-Link a décidé de ne pas fournir de correctifs pour les appareils arrivés en fin de vie, au statut EoL (End of Life).
  • Il est recommandé aux utilisateurs de les remplacer par de nouveaux modèles.
  • Des vulnérabilités similaires ont également été découvertes dans des appareils NAS de D-Link, sans correctif là non plus.

• Détails des vulnérabilités découvertes

  • CVE-2024-11068 : vulnérabilité permettant de changer le mot de passe via l’accès à l’API, gravité 9.8.
  • CVE-2024-11067 : vulnérabilité de traversée de répertoires, gravité 7.5.
  • CVE-2024-11066 : vulnérabilité d’exécution de code à distance, gravité 7.2.

• Recommandations supplémentaires

  • S’il n’est pas possible de remplacer immédiatement le routeur, il est recommandé de limiter l’accès à distance et de définir un mot de passe sûr.
  • Les routeurs font partie des endpoints les plus attaqués.

• Autres informations

  • D-Link recommande le retrait et le remplacement des appareils ayant atteint le statut EOL/EOS.
  • Le centre taïwanais de réponse aux incidents informatiques (TWCERTCC) a également découvert quatre vulnérabilités supplémentaires d’injection de commandes.

[GN⁺]

Avis Hacker News

• Présentation d’un article indiquant qu’il n’existe aucun correctif de sécurité pour les anciens modems de D-Link

  • D-Link a déjà lancé des équipements présentant des failles de sécurité, et il vaut mieux acheter d’autres produits

• La directive européenne sur la responsabilité du fait des produits exige des mises à jour pour maintenir la sécurité des produits

  • En Allemagne, on s’attend à ce que les produits et les applications associées soient mis à jour pendant en moyenne 5 ans

• Recommandation de Ubiquiti (Unifi) et d’OpenWRT pour les personnes qui recherchent des produits avec un support à long terme

  • Les appareils compatibles OpenWRT sont peu coûteux et ont de fortes chances d’être pris en charge sur le long terme

• La qualité logicielle de l’entreprise est importante, et pas seulement ses promesses de support du produit

• Partage d’une expérience d’analyse des vulnérabilités d’un ancien routeur Wi-Fi, avec l’intention de les publier sur un blog

  • Expérience d’un fabricant ayant cessé les mises à jour, ce qui a obligé à acheter un nouvel équipement

• Utilisation d’un Ubiquiti Edge Router, mais sans satisfaction sur le long terme

  • Achat d’un boîtier Protectli, flash de coreboot, utilisation de pfSense puis passage à OPNSense

• Les équipements réseau grand public sont vulnérables sur le plan de la sécurité, et les personnes pour qui la sécurité est importante ne devraient pas les utiliser

• Recommandation de flasher OpenWRT sur du vieux matériel

  • Il est préférable d’acheter du matériel capable d’exécuter pfSense ou OPNSense

• Explication du contexte du bug lié à la fin de vie des produits D-Link

  • Présentation de la manière d’utiliser OpenWRT

• Critique du score CVSS

  • Les scores CVE ne sont pas utiles pour évaluer l’impact réel des vulnérabilités de sécurité

• Regret que l’interface utilisateur des routeurs MikroTik ne soit pas adaptée aux non-professionnels

  • Peu coûteux et pris en charge sur le long terme, mais leur interface reste difficile pour les non-spécialistes