D-Link停止掩耳盗铃 准备修复路由器漏洞

概述： D-Link正在修复从其几种不同型号网络设备中发现的危险远程访问漏洞。

加拿大安全研究员Peter Adkins本周早些时候披露D-Link设备存在0day漏洞，而D-Link公司表示在这些漏洞被披露之时便切断了通讯。其中最严重的0day漏洞可允许攻击者劫持设备，通过利用CSRF漏洞创建恶意站点的方式更改DNS设置。D-Link在一份安全公告中警告称DIR型号的626L、636L、808L、810L、820L、826L、830以及836L都易遭受远程代码执行。

D-Link表示攻击者可在未经设备LAN端认证情况下，或在“外部连接”框默认不被勾选的情况下通过网络上传并运行文件。

D-Link在评价Adkins的成果时表示，“报告称第二个漏洞与设备的ping实用程序有关，可能导致在未经认证的情况下允许命令注入……第三个漏洞可能会利用固件中的某些芯片组允许恶意用户发动攻击披露设备的配置信息。”

Adkins表示，许多家用路由器的安全缺陷可归因于广泛的功能集。他指出，“这些设备所建立的平台可能是稳固的——如OpenWRT——但会有另外的服务‘闯进来’提供附加值服务，此时安全性似乎被抛到九霄云外了”。

Adkins指出自己与D-Link的联系在2月23日前后中断，当时D-Link确认收到1月11日收到的漏洞报告表示他们对漏洞不知情，并且让Adkins查看公司的安全报告指南。

公司建议用户使用加密无线路由器以防止黑客入侵网络，并表示这种可能性较小。

目前，只有DIR-820L被修复。

相关阅读:

D-Link 和TRENDnet 'ncc2' 服务多个漏洞 附POC 

Zynos固件漏洞或影响D-link、TP-Link、中兴等多款路由器 

漏洞“厄运饼干”被发现，将影响TP-Link、D-Link、华为等千万台路由

原文链接：http://www.theregister.co.uk/2015/03/04/dlink_removes_fingers_from_ears_preps_mass_router_patch/