Исследователи безопасности из компании Cisco обнаружили (http://blog.talosintelligence.com/2017/04/moxa-hardcoded-cre...) наличие скрытой учётной записи для входа на точки доступа Moxa AWK-3131A (http://www.moxa.com/product/AWK-3131A.htm), ориентированные на развёртывание беспроводной сети для управления объектами промышленной автоматизации. Используя недокументированную учётную запись (логин 94jo3dkru4, пароль moxaiwroot) любой злоумышленник может получить root-доступ к устройству по протоколам SSH или Telnet, которые включены по умолчанию. Для решения проблемы рекомендуется отключить сервисы SSH и Telnet, так как удаление учётной записи будет действовать только до перезагрузки.Примечательно, что две недели назад в беспроводных точках доступа Moxa также нашли (http://blog.talosintelligence.com/2017/04/moxa-box.html) серию уязвимостей. Например, устройства подвержены CSRF-атакам, через форму ping-проверки можно выполнить любой код в системе, файл конфигурации и логи можно получить без аутентификации, применяются ненадёжные криптоалгоритмы для которых разработаны методы проведения атак, записываемый в Cookie сессионный ключ может быть использован для входа с других систем.
URL: http://blog.talosintelligence.com/2017/04/moxa-hardcoded-cre...
Новость: http://www.opennet.dev/opennews/art.shtml?num=46471
У меня просто нет слов. Сейчас зашел на свой домашний рутер GPON, поставленный провайдером и чисто наобум ввёл в поле ping-а `id`, на что получилCan't resolv hostname for [uid=0(root) gid=0(root)]
Блин, они что все поголовно вообще не думают о безопасности. Куда ни ткни дыры на поверхности.
> Блин, они что все поголовно вообще не думают о безопасности. Куда ни ткни дыры на поверхности.Зачем думать, если и так продаётся?
Это уг навязывается бесплано, если не считать электроэнергию и ответственность за оборудование.
Оборудование покупает провайдер, а значит продаётся.
> Это уг навязывается бесплано, если не считать электроэнергию и ответственность за оборудование.Покажи мне тех кто будет паять железки и делать прошивки забесплатно. А хотя-бы и с настолько поганым качеством. За все уплачено - ISP оплатил. И ты оплатишь, абоненткой. Ты же не думал что ISP себе в минус работает? Еще здания ранее занятые под АТСы перепрофилируют, а это очень много денег приносит.
да, да! они не думают о безопасности же! СЛУЧАЙНО оставили в прошивке неубиваемую учетку! :D
дураков по всей планете припасено с избытком!
ZTE F660?
Нет, GPON/Ericsson SBM4F00ARA
Купи роутер, куда можно воткнуть pfsense/opnsense или openwrt, потрать час на настройку и наслаждайся регулярными секьюрити фиксами и прочими плюшками. Мне alix/apu board'ов хватает.
Большой брат сказал ставить дырки вот они и ставят.
> У меня просто нет слов. Сейчас зашел на свой домашний рутер GPON,
> поставленный провайдером и чисто наобум ввёл в поле ping-а `id`, на
> что получил
> Can't resolv hostname for [uid=0(root) gid=0(root)]
> Блин, они что все поголовно вообще не думают о безопасности. Куда ни
> ткни дыры на поверхности.Что значит "зашёл", "ввёл"...?
Если вы туда зашли как (горе)администратор, то... у проблема с дырами в ваших мозгах... главная...
А я не так давно нашёл в CMS клиента вписанный пароль по типу 1111 в файле авторизации. В условии сначала проверяются хеши после чего данные из этого же поля проверяются на совпадение с 1111 и в случае совпадения пускает в админку =)
Автор этого поделия не просто знатный naеbщik, он еще и отрицает свой nаeb. На главной странице своего сайта говорит, что блогер пропeнтеcтил его пoдeлие, и безопасность впoрядке!
> Автор этого поделия не просто знатный naеbщik, он еще и отрицает свой
> nаeb. На главной странице своего сайта говорит, что блогер пропeнтеcтил его
> пoдeлие, и безопасность впoрядке!Вы перепутали новость про Moxa и новость про Nomx (https://www.opennet.dev/opennews/art.shtml?num=46466)
Да, извиняюсь.
Ой, да какая разница.
Одни бекдоромейкеры нашли бекдор у других.
Ну вот пусть и ищут друг у друга, а нам профит
>Исследователи безопасности из компании Cisco обнаружили наличие скрытой учётной записи...А их нельзя привлечь к ответственности на основании чего-то типа DMCA, простите за глупый вопрос.