Um alerta aos usuários domésticos de roteadores: os aparelhos estão cheios de falhas conhecidas e executam Linux antigo, sem qualquer patch de correção. A denúncia foi realizada pelo Instituto Fraunhofer de Comunicação da Alemanha (FKIE). Eles fizeram um estudo envolvendo 127 roteadores domésticos de sete marcas para verificar a presença de vulnerabilidades de segurança conhecidas no firmware mais recente. Os resultados são assustadores.
O estudo da FKIE descobriu que 46 roteadores não receberam uma única atualização de segurança no ano passado e que muitos roteadores são afetados por centenas de vulnerabilidades conhecidas. O Instituto também descobriu que os fornecedores estão enviando atualizações de firmware sem corrigir vulnerabilidades conhecidas, o que significa que, mesmo que um consumidor instale o firmware mais recente de um fornecedor, o roteador ainda estará vulnerável.
A FKIE avaliou que a ASUS e a Netgear fazem um trabalho melhor em alguns aspectos da proteção de roteadores do que a D-Link, a Linksys, a TP-Link e a Zyxel. No entanto, argumenta que o setor precisa fazer mais para proteger os roteadores domésticos. A FKIE descobriu que a AVM, fabricante alemã de roteadores, era o único fornecedor que não publicava chaves criptográficas privadas no firmware do roteador. O roteador Netgear R6800 continha 13 chaves privadas.
Roteadores domésticos estão cheios de falhas conhecidas e executam Linux antigo
Nos piores casos de dispositivos avaliados pelo FKIE, os roteadores não foram atualizados por mais de cinco anos. Cerca de 90% dos roteadores no estudo usavam um sistema operacional Linux. No entanto, os fabricantes não estavam atualizando o sistema operacional com as correções disponibilizadas pelos mantenedores do kernel do Linux.
O Linux trabalha continuamente para fechar vulnerabilidades de segurança em seu sistema operacional e desenvolver novas funcionalidades. Realmente, tudo que os fabricantes precisariam fazer é instalar o software mais recente, mas eles não o integram na medida em que poderiam e deveriam, afirmou. Johannes vom Dorp, cientista do departamento de Análise e Defesa Cibernética do FKIE. Numerosos roteadores possuem senhas conhecidas ou simples de decifrar – ou possuem credenciais codificadas que os usuários não podem alterar, acrescentou.
O estudo enumerou cinco sinais principais em imagens de firmware para avaliar a abordagem de cada fabricante à segurança cibernética. Isso incluiu:
- os dias desde o lançamento da última atualização de firmware;
- qual a idade das versões do SO executando esses roteadores;
- o uso de técnicas de mitigação de exploração;
- se o material da chave criptográfica privada não é privado;
- e a presença de credenciais de login codificadas.
O FKIE conclui que os fabricantes de roteadores estão significativamente atrasados na entrega de atualizações de segurança em comparação com os fabricantes de sistemas operacionais.
A política de atualização dos fornecedores de roteadores está muito atrás dos padrões, como os conhecemos nos sistemas operacionais para desktop ou servidor, observa FKIE no relatório. A maioria dos dispositivos é alimentada por Linux e os patches de segurança do kernel do Linux e outros softwares de código aberto são lançados várias vezes por ano. Isso significa que os fornecedores podem distribuir patches de segurança em seus dispositivos com mais frequência, mas não o fazem.
Pesquisa dos Estados Unidos já apontava o problema
Os resultados refletem as descobertas de um estudo de 2018 nos EUA do American Consumer Institute (ACI), que analisou 186 roteadores Wi-Fi de pequenos escritórios/escritórios domésticos de 14 fornecedores diferentes. Ele descobriu que 155, 83% do firmware das amostras tinha vulnerabilidades a possíveis ataques cibernéticos e que cada roteador tinha uma média de 172 vulnerabilidades.
A ACI criticou os fabricantes de roteadores por não fornecerem um mecanismo de atualização automática para manter os roteadores atualizados. Muitas vezes, as atualizações são feitas apenas após ataques de alto nível aos roteadores, como o malware Mirai IoT e o malware VPNFilter.
Sem mitigação
Quanto à mitigação de exploração, a negligência se repte. Um pesquisador encontrou recentemente 79 modelos de roteadores Netgear com uma falha explorável remotamente. Da mesma forma, ele pôde constatar que o painel de administração baseado na Web nunca aplica a técnica de mitigação de exploração ASLR (randomização de layout de espaço de endereço), diminuindo a possibilidade de ataques remotos sobre um roteador afetado.
Além disso, o estudo alemão constatou que mais de um terço dos dispositivos usa uma versão 2.6.36 do kernel ou mais antiga, com a atualização de segurança mais recente 2.6.36 fornecida em fevereiro de 2011. Por outro lado, encontrou um roteador Linksys WRT54GL em execução no kernel Linux versão 2.4. 20, lançado em 2002. Portanto, são muito preocupantes as vulnerabilidades nesses roteadores domésticos.
O pior caso em relação aos CVEs de alta gravidade é o Linksys WRT54GL, com o kernel mais antigo encontrado em nosso estudo, observa o relatório. Existem 579 CVEs de alta gravidade que afetam este produto.
ZDNet