Брешь маршрутизаторов TP-Link позволяет злоумышленнику войти без пароля

Orange

Мастер слова
Регистрация
7 Окт 2017
Сообщения
8,672
Реакции
1,319
Инженеры компании-производителя компьютерного и телекоммуникационного оборудования TP-Link устранили уязвимость роутеров серии Archer. Воспользовавшись данным багом, хакер мог аннулировать пароль администратора и получить доступ к устройству. При помощи отправки HTTP-запроса злоумышленник мог сбросить пароль пользователя или заменить на пустое значение. Все действия правонарушитель мог совершить удаленно.

tplink1.jpg


Схема была рабочей, несмотря на прохождение маршрутизатором комплексной проверки, которая проверяет только HTTP-заголовок запроса клиента. Это позволяло хакеру обойти закодированный tplinkwifi.net, чтобы httpd гаджета признал безопасность запроса.

У роутеров серии Archer все пользователи являлись администраторами с полными правами и возможностями сбрасывать все настройки. Злоумышленник мог автоматически получить право администратора в операционной системе устройства. Атакующий мог лишить всех прав хозяина устройства и заблокировать его. Устройство переставало принимать пароли, о чем его владелец просто не догадывался.
 
Назад
Сверху