D-Link annonce qu’il ne fournira pas de correctif de sécurité pour 60 000 anciens modems

 (techradar.com)
1 points par GN⁺ 2024-11-28 | 1 commentaires | Partager sur WhatsApp
  • Plusieurs vulnérabilités critiques ont été découvertes dans le modem D-Link DSL6740C, mais le produit étant en fin de vie, il est recommandé de le remplacer par un modèle récent plutôt que d’attendre un correctif
  • Parmi les vulnérabilités découvertes par le chercheur en sécurité Chaio-Lin Yu, CVE-2024-11068 affiche une sévérité de 9,8 et permet de modifier le mot de passe via un accès API privilégié
  • Le même modèle présente aussi une vulnérabilité de traversée de chemin CVE-2024-11067 et une vulnérabilité d’exécution de code à distance CVE-2024-11066, avec des sévérités respectives de 7,5 et 7,2
  • Environ 60 000 équipements vulnérables sont exposés sur Internet, la plupart à Taïwan ; le DSL6740C a atteint sa fin de vie il y a environ un an et n’est pas vendu aux États-Unis
  • Si un remplacement immédiat est difficile, il faut restreindre l’accès à distance et définir des mots de passe sûrs, les routeurs étant des endpoints fréquemment ciblés par les attaquants

DSL6740C : remplacement recommandé, sans correctif

  • Plusieurs vulnérabilités de sécurité importantes dans d’anciens routeurs-modems D-Link pourraient permettre à des attaquants de prendre le contrôle des équipements
  • D-Link indique que ces appareils sont en fin de vie (EoL) et ne fournira pas de correctif, recommandant de les remplacer par des modèles plus récents
  • Ce cas survient juste après la découverte de CVE-2024-10914 dans des NAS D-Link, pour laquelle aucun correctif n’avait été fourni au motif que les produits étaient en fin de vie
    • CVE-2024-10914 est une vulnérabilité d’injection de commandes, avec un score de sévérité de 9,2

Principales CVE découvertes

  • Le chercheur en sécurité Chaio-Lin Yu (Steven Meow) a découvert trois vulnérabilités dans le modem D-Link DSL6740C
    • CVE-2024-11068 : sévérité 9,8 ; permet à un attaquant de modifier le mot de passe via un accès API privilégié
    • CVE-2024-11067 : vulnérabilité de traversée de chemin, sévérité 7,5
    • CVE-2024-11066 : vulnérabilité d’exécution de code à distance (RCE), sévérité 7,2
  • Le même modèle présente également quatre autres vulnérabilités à haut risque d’injection de commandes
    • CVE-2024-11062
    • CVE-2024-11063
    • CVE-2024-11064
    • CVE-2024-11065
  • Ces informations supplémentaires sur les vulnérabilités s’appuient sur un article de BleepingComputer citant le centre taïwanais de réponse aux incidents informatiques TWCERTCC

Ampleur de l’exposition et régions concernées

  • Environ 60 000 équipements vulnérables sont actuellement connectés à Internet
  • La majorité des équipements vulnérables se trouvent à Taïwan
  • Le modèle DSL6740C a atteint sa fin de vie (EoL) il y a environ un an et n’est pas vendu aux États-Unis

Réponse de D-Link

  • D-Link a indiqué qu’il ne corrigerait pas ces vulnérabilités
  • L’entreprise recommande de mettre au rebut et remplacer les équipements D-Link ayant atteint leur fin de vie ou fin de support (EoL/EOS)
  • La recommandation officielle n’est pas d’appliquer un correctif, mais de remplacer le matériel

Mesures temporaires avant remplacement

  • Les utilisateurs qui ne peuvent pas remplacer immédiatement leur routeur doivent au minimum restreindre l’accès à distance
  • Les mots de passe d’accès doivent être configurés de manière sûre
  • Les routeurs étant parmi les endpoints les plus ciblés par les attaques, ces mesures doivent réduire le risque de compromission

À lire aussi

1 commentaires

 
GN⁺ 2024-11-28
Avis de Hacker News

  • Pour ceux qui préfèrent lire plutôt que regarder une vidéo, voici le lien vers l’article : https://www.techradar.com/pro/security/d-link-says-it-wont-p...
    D-Link a depuis longtemps un passif d’équipements peu sécurisés ou dotés de backdoors ; il y a donc de fortes chances que les personnes utilisant du matériel D-Link aient intérêt à acheter autre chose.

    • Les switches non managés font peut-être exception. Les petits switches non managés de D-Link sont vraiment solides : j’en utilise plusieurs qui sont si vieux que je ne me souviens même plus quand je les ai achetés.
      D-Link n’a apparemment même pas réussi à gâcher les switches non managés, mais vu leur attitude vis-à-vis de la sécurité, je ne pense pas racheter du D-Link à l’avenir.
    • Sans ironie, je ne pensais pas que D-Link était encore un acteur majeur. Il y a une vingtaine d’années, c’était une marque grand public de troisième rang derrière Linksys et Netgear, mais aujourd’hui Eero, ASUS, Netgear, Linksys, TP-Link, Google semblent être les acteurs dominants.
      Ces dix dernières années, je n’ai pas vu de produits D-Link en magasin, en ligne ni dans des environnements réels. En consultant leur site, ils sont encore en activité, mais on dirait simplement que plus personne n’en achète.
    • Encore 60 000 équipements qui se retrouvent dans l’état idéal pour rejoindre le botnet d’acteurs malveillants.

  • Si vous cherchez des alternatives avec un support longue durée, je n’ai eu que de bonnes expériences avec Ubiquiti (Unifi) et OpenWRT. Dans l’entrée de gamme, le matériel compatible OpenWRT offre un excellent rapport qualité-prix, et la plupart des appareils seront probablement pris en charge pendant des décennies.
    Plus largement, il ne s’agit pas seulement de promesses de support : la réputation d’une entreprise à fournir des logiciels solides compte aussi. La vraie question est la probabilité a priori que ce genre de situation se produise une fois le produit en fin de support.

    • Pas forcément. Les nouvelles versions d’OpenWRT demandent progressivement un peu plus d’espace de stockage et de mémoire, tandis que les appareils bon marché ont tendance à n’embarquer que le minimum de flash et de RAM possible.
      Les anciens appareils avec 4 Mo de stockage ou 32 Mo de mémoire ne peuvent déjà plus exécuter les versions récentes d’OpenWRT, et les modèles avec 8 Mo de flash ou 64 Mo de RAM sont en cours d’abandon. Cela dit, en dehors de ces cas, OpenWRT prend généralement en charge le matériel bien plus longtemps que la date de fin de support prévue à l’origine.
    • Côté support longue durée, même le Netgear WNDR3700v2, vieux d’environ 15 ans, peut encore recevoir la dernière version officielle d’OpenWrt.
      https://firmware-selector.openwrt.org/?version=23.05.5&targe...
      https://openwrt.org/toh/netgear/wndr3700
      Quand j’achète un routeur, je commence par chercher quel modèle est le mieux pris en charge par OpenWrt à ce moment-là, puis je vérifie si je peux en trouver un ou plusieurs à bon prix sur eBay. Des modèles comme WRT54-GL, WNDR3700 (v2, v4), WNDR3800 ou Netgear R7800.
      J’évalue aussi du matériel OPNsense, mais OPNsense (FreeBSD) n’est pas très fort côté WiFi, donc il faut y adjoindre un point d’accès WiFi séparé sous OpenWrt. Un seul OpenWrt R7800 couvre tous mes besoins actuels, et je n’aime pas l’augmentation de complexité.
    • À ce stade, je pense que OpenWRT est la bonne approche. L’open source est particulièrement fort quand tout le monde partage un intérêt commun. Nous avons tous intérêt à disposer de réseaux sûrs.
      Verrouiller commercialement le firmware des routeurs n’a aucun sens. Les fabricants devraient simplement basculer vers OpenWRT et y ajouter leur habillage.
    • OpenBSD fonctionne aussi très bien pour cet usage.
    • MikroTik propose aussi pas mal de matériel abordable, et j’utilise encore plusieurs produits « arrêtés » vieux de plus de dix ans qui reçoivent toujours des mises à jour.
      Comme les versions sont publiées par architecture CPU ou chipset plutôt que pour un appareil précis, je crois ne jamais avoir réellement rencontré d’équipement dont le support avait cessé avant de devoir le remplacer pour obtenir un réseau plus rapide — par exemple en passant du 10/100 au 1000, ou du 802.11bgn au 802.11n puis 802.11ac.
      Une bonne partie de ces appareils est également compatible avec OpenWRT.

  • C’est un problème que la directive européenne sur la responsabilité du fait des produits peut potentiellement couvrir. Le vendeur ou l’importateur doit fournir des mises à jour si elles sont nécessaires au maintien de la sécurité du produit ; à défaut, il peut être tenu responsable des dommages, y compris des préjudices psychologiques.
    La directive ne précise pas de durée concrète ; du point de vue du vendeur, le mieux serait donc probablement d’indiquer dès le départ la durée de vie du produit dans la description ou dans le contrat.
    En Allemagne, un régime similaire existe déjà, avec l’attente qu’un produit et l’application nécessaire à son fonctionnement soient mis à jour pendant cinq ans en moyenne.

    • La directive prévoit une période d’expiration de 10 ans explicite. Voir le considérant (57).
      « Les produits vieillissent avec le temps, et des normes de sécurité plus élevées apparaissent avec le progrès scientifique et technique ; il ne serait donc pas raisonnable de rendre les fabricants indéfiniment responsables des défauts de leurs produits. La responsabilité devrait donc être limitée à une période raisonnable, à savoir 10 ans à compter de la mise sur le marché ou de la mise en service du produit (“période d’expiration”), sans préjudice des actions en justice en cours. »
      https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A...
    • Le D-Link DSL6740C en question est sorti en 2014 et a déjà largement dépassé sa durée de vie. Je ne suis pas sûr pour la PLD, mais le CRA ne s’applique que pendant la durée de vie du produit ou environ cinq ans, selon la période la plus courte.
      « Lorsqu’il met sur le marché un produit comportant des éléments numériques, le fabricant veille à ce que les vulnérabilités de ce produit soient traitées efficacement conformément aux exigences essentielles énoncées à l’annexe I, section 2, pendant la durée de vie prévue du produit ou pendant une période de cinq ans après la mise sur le marché du produit, la période la plus courte étant retenue. »

  • Le contexte de ce bug est visible ici : https://www.youtube.com/watch?v=-vpGswuYVg8 -- objectivement, c’est d’un niveau difficilement pardonnable

    • En résumé, cela consiste à appeler GET /cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;;%27
      account_mgr.cgi lui-même est sûr : il reçoit les paramètres web name et pw et effectue un appel équivalent à execlp(..., "account", "-u", name, "-p", pw);
      Mais le programme "account" écrit par un stagiaire exécute sprintf(buf, "adduser \"%s\" -p \"%s\" >/dev/null", opt_u, opt_p); system(buf);

  • Pendant des années, j’ai gardé une caisse de vieux routeurs WiFi, avec l’idée qu’un jour je ferais de la rétro-ingénierie dessus et écrirais un billet de blog sur des vulnérabilités, pour montrer à quel point la qualité logicielle du matériel acheté dans un magasin d’électronique de quartier est lamentable
    Les fabricants arrêtaient de fournir des mises à jour, ce qui obligeait à acheter un nouveau produit tous les 3 ou 4 ans, et c’était pareil même quand j’achetais du haut de gamme
    Concrètement, je suis passé il y a près de 10 ans à un Ubiquiti EdgeRouter, mais Ubiquiti n’a pas non plus été bon sur la durée et a abandonné la gamme EdgeRouter/EdgeMAX. Du coup, la gamme de routeurs/pare-feu Unifi ne m’intéressant pas, j’ai acheté une machine Protectli, installé coreboot, utilisé pfSense, puis finalement migré vers OPNSense
    Sur cette période, j’en suis arrivé à la conclusion que les équipements réseau grand public sont, en pratique, des déchets. Si l’on se soucie un tant soit peu de sécurité, il ne faut pas les utiliser, mais ce n’est pas aussi simple pour les personnes non techniques
    On peut installer OpenWRT sur une bonne partie du matériel ancien ou bon marché, donc je le recommande comme option la moins chère à ceux qui se soucient un peu de sécurité mais ne veulent pas acheter de nouveau matériel. Ceux qui veulent faire les choses plus correctement feraient mieux d’acheter du matériel capable de faire tourner un OS de routeur correctement maintenu comme pfSense ou OPNSense ; et s’ils ne veulent pas mettre en place tout un réseau de PME, un routeur WiFi-switch tout-en-un peut aussi convenir

    • Ubiquiti, à l’époque, était excellent, mais l’orientation a changé. Aujourd’hui, MikroTik est la marque qui attire à nouveau l’attention

  • Si vous possédez l’un des modèles concernés, il y a cette solution
    https://openwrt.org/toh/d-link/start

    • Je n’ai pas retrouvé la plupart des modèles touchés là-bas, et les pages des modèles que j’ai trouvés étaient pleines d’avertissements indiquant que la prise en charge OpenWrt était obsolète depuis 2022, ou que 4 Mo de flash et 32 Mo de RAM ne suffisaient pas pour faire quoi que ce soit d’utile

  • Ce n’est que du râlage, et je sais bien que cela n’a pas vraiment de rapport pratique direct avec le fait que D-Link mette fin au support de ses produits, mais les vulnérabilités notées 9,8 ou 9,2 n’existent pour ainsi dire pas
    Je pense qu’il y a plus de vraie science dans le système de notation 0,0–10,0 de Pitchfork que dans le CVSS

    • Je ne sais pas ce qu’est l’échelle Pitchfork. Je n’arrive pas à savoir s’il s’agit d’une échelle réelle, et les recherches ne donnent rien d’utile

  • C’est dommage que l’interface des routeurs MikroTik soit à un niveau adapté uniquement aux utilisateurs avancés
    Sinon, ce serait parfait. C’est bon marché et, dans les faits, pris en charge quasiment indéfiniment. Le secret semble être d’utiliser une image de firmware unique pour tous les routeurs ayant la même architecture CPU

    • Il existe une application officielle pour les particuliers : https://play.google.com/store/apps/details?id=com.mikrotik.a...
      La page par défaut de l’IP du routeur est celle-ci : https://help.mikrotik.com/docs/spaces/ROS/pages/328060/Quick...
    • Ils essaient de s’améliorer récemment. Il paraît que la configuration de base PPPoE et DHCP peut se faire avec l’application mobile MikroTik, et il existe aussi une application de configuration Back To Home pour le VPN WireGuard
    • Je trouve cela assez basique. Il y a beaucoup d’options, mais il suffit de guider l’utilisateur vers la configuration rapide ou quelques endroits précis

  • C’est un choix gaspilleur rendu possible parce qu’on n’a pas à assumer l’entière responsabilité de la pollution, de la consommation d’énergie et des déchets
    Si l’on devait payer le coût d’une restauration complète de l’environnement, le coût total de l’énergie et le coût d’une mise au rebut soigneuse du matériel inadapté, la décision aurait été différente

    • Je pense que lorsqu’une entreprise met fin au support d’un appareil, elle devrait être légalement obligée d’en publier le code source

  • Pour être juste, les scores CVE ne semblent généralement pas très utiles pour évaluer l’impact réel d’une faille de sécurité. L’affaire CUPS était aussi notée 9,9, mais elle était totalement sans rapport pour beaucoup de gens

    • Les alertes NPM sont similaires. Elles crient toujours qu’il y a des milliards de vulnérabilités incroyablement critiques, mais quand on regarde, il s’agit souvent au final de choses du genre : « si vous mettez une expression régulière malveillante dans votre propre fichier de configuration, le linter JS se bloque »
    • Ici, c’est une injection de commande via un GET basique, qui donne immédiatement un accès root. Cela mérite un score élevé
      Les navigateurs actuels bloqueraient probablement une URL contenant une IP privée, mais au cours des 10 à 13 dernières années, il y a clairement eu des navigateurs avec lesquels une simple visite de page web pouvait faire rejoindre un NAS à un botnet
    • Un CVE à 9,8 sur une cible directement exposée au WAN, c’est clairement très mauvais
    • Je vois ce que vous voulez dire, mais dans les faits, les gens ne se soucient pas autant de sécurité qu’ils le devraient. Donc, personnellement, cela me semble acceptable
      Je préférerais vivre dans un monde où les gens passent trop de temps sur la sécurité
    • Le problème, c’est la façon dont ces détails sont pris en compte. L’indicateur de complexité est censé traiter les scénarios où « une configuration particulière est nécessaire », mais personne n’est fortement incité à noter correctement sa propre entrée