NetUSB भेद्यता लाखों कनेक्टेड डिवाइसों को हमले के लिए खुला छोड़ देती है

सुरक्षा शोधकर्ताओं ने प्रकाशित किया है अवधारणा का सबूत एक लोकप्रिय ड्राइवर का लाभ उठाते हुए एक प्रमुख राउटर भेद्यता के लिए कोड, जिसका उपयोग हैकर्स द्वारा लाखों कनेक्टेड डिवाइसों से समझौता करने के लिए किया जा सकता है।

कमजोर लिनक्स कर्नेल ड्राइवर को नेटयूएसबी कहा जाता है, और यह प्रिंटर, बाहरी जैसे यूएसबी उपकरणों की अनुमति देता है हार्ड ड्राइव और फ्लैश ड्राइव को राउटर या एक्सेस प्वाइंट से जोड़ा जाना चाहिए ताकि उन्हें उपलब्ध कराया जा सके नेटवर्क। NetUSB तकनीक KCodes Technology नामक ताइवानी फर्म की है, लेकिन प्रत्येक विक्रेता की तकनीक के लिए एक अलग नाम है। नेटगियर इसे रेडीशेयर कहता है, जबकि अन्य विक्रेता "प्रिंट शेयरिंग" या "यूएसबी शेयर पोर्ट" जैसे शब्दों का उपयोग करते हैं।

भेद्यता, जिसका उपयोग सेवा से इनकार करने वाले हमलों को अंजाम देने और साथ ही दूरस्थ रूप से कोड चलाने के लिए किया जा सकता है, को एसईसी कंसल्ट वल्नरेबिलिटी लैब द्वारा उजागर किया गया था। कंपनी का कहना है कि उसने 26 विक्रेताओं की पहचान की है जिनके उत्पाद राउटर की खराबी से प्रभावित हुए थे।

एसईसी कंसल्ट ने एक लेख में लिखा है, "क्लाइंट पक्ष को उस सॉफ़्टवेयर में कार्यान्वित किया जाता है जो विंडोज़ और ओएस एक्स के लिए उपलब्ध है।" ब्लॉग भेजा. "यह सर्वर से जुड़ता है और उन उपकरणों का अनुकरण करता है जो स्थानीय रूप से एम्बेडेड सिस्टम में प्लग किए जाते हैं। उपयोगकर्ता अनुभव एक क्लाइंट सिस्टम में भौतिक रूप से प्लग किए गए यूएसबी डिवाइस की तरह है। यह ध्यान देने योग्य है कि नेटयूएसबी सुविधा उन सभी डिवाइसों पर सक्षम थी जिन्हें हमने जांचा था और सर्वर तब भी चल रहा था जब कोई यूएसबी डिवाइस प्लग इन नहीं था!"

शोषण स्वयं एक पुराने स्कूल का बफर ओवरफ्लो है, जहां एक क्लाइंट डिवाइस पर एक कंप्यूटर नाम भेजता है जो 64 अक्षरों से अधिक लंबा होता है।

कुछ टीपी-लिंक और नेटगियर डिवाइस असुरक्षित माने जाते हैं, लेकिन शोधकर्ताओं का मानना ​​है कि IOGear, वेस्टर्न डिजिटल और ZyXEL सहित निर्माताओं की एक पूरी श्रृंखला के डिवाइस प्रभावित हैं। उन उपकरणों की पूरी सूची के लिए जो संभवतः इस भेद्यता से प्रभावित हैं, सलाह देखें.

शोधकर्ताओं ने इस साल फरवरी में भेद्यता के संबंध में केकोड्स से संपर्क करने का प्रयास किया, लेकिन नजरअंदाज किए जाने से पहले केवल "कुछ निरर्थक प्रतिक्रियाएं" मिलीं।

एसईसी कंसल्ट के अनुसार, केवल टीपी-लिंक ने फिक्स जारी किए हैं, ज़ीएक्सईएल, नेटगियर और डी-लिंक ने कहा है कि पैच पाइपलाइन में हैं।

राउटर्स हैकर्स के लिए एक लोकप्रिय लक्ष्य बन गए हैं, और इस महीने की शुरुआत में शोधकर्ताओं ने एक शोषण किट का खुलासा किया यह कई उत्पादों से संबंधित कमजोरियों को एक उपयोग में आसान उपकरण में एक साथ लाता है जिसका उपयोग बुरे लोग कर सकते हैं।

यह सभी देखें:

• नया iPhone अगस्त की शुरुआत में लॉन्च हो सकता है
• स्मार्टवॉच: क्या बुलबुला पहले ही फूट चुका है?
• हार्ड ड्राइव (एचडीडी) और सॉलिड स्टेट ड्राइव (एसएसडी) को सुरक्षित रूप से कैसे मिटाएं
• चोर चोरी हुई Apple वॉच को आसानी से रीसेट कर सकते हैं