D-Link, 60.000 eski modem için güvenlik yaması sunmayacağını açıkladı

• Güvenlik araştırmacılarının bulduğu açıklar

  • Eski D-Link modemlerde ciddi güvenlik açıkları bulundu.
  • D-Link, bu açıkları yamalamak yerine donanım yükseltmesini öneriyor.
  • Yaklaşık 60.000 savunmasız cihaz bulunuyor ve bunların çoğu Tayvan'da yer alıyor.

• D-Link'in yanıtı

  • D-Link, EoL (End of Life) durumuna ulaşan cihazlar için yama sunmamaya karar verdi.
  • Kullanıcılara yeni modellerle değiştirmeleri tavsiye ediliyor.
  • D-Link NAS cihazlarında da benzer açıklar bulundu, ancak bunlar için de yama sunulmayacak.

• Bulunan açıkların ayrıntıları

  • CVE-2024-11068: API erişimi üzerinden parolanın değiştirilebilmesine olanak tanıyan açık, önem derecesi 9.8.
  • CVE-2024-11067: Dizin geçişi açığı, önem derecesi 7.5.
  • CVE-2024-11066: Uzaktan kod çalıştırma açığı, önem derecesi 7.2.

• Ek öneriler

  • Yönlendiriciyi hemen değiştiremiyorsanız, uzaktan erişimi kısıtlamanız ve güvenli bir parola belirlemeniz öneriliyor.
  • Yönlendiriciler en çok saldırıya uğrayan uç noktalardan biri.

• Diğer bilgiler

  • D-Link, EOL/EOS durumuna ulaşan cihazların kullanımdan kaldırılmasını ve değiştirilmesini öneriyor.
  • Tayvan Bilgisayar Acil Müdahale Ekibi ve Koordinasyon Merkezi (TWCERTCC), ek olarak 4 komut ekleme açığı daha tespit etti.

[GN⁺]

Hacker News görüşleri

• D-Link’in eski modemleri için güvenlik yaması olmadığına dair bir haber tanıtılıyor

  • D-Link’in güvenlik açısından zayıf cihazlar piyasaya sürme geçmişi var; başka ürünler satın almak daha iyi olabilir

• AB ürün sorumluluğu yönergesi, ürünlerin güvenliğini korumak için güncelleme yapılmasını gerektiriyor

  • Almanya’da, ürünlerin ve ilgili uygulamaların ortalama 5 yıl boyunca güncellenmesi beklentisi var

• Uzun süre desteklenen ürün arayanlara Ubiquiti (Unifi) ve OpenWRT öneriliyor

  • OpenWRT destekli cihazlar ucuz ve uzun vadede destek alma olasılığı daha yüksek

• Yalnızca ürünün destek taahhüdü değil, şirketin yazılım kalitesi de önemli

• Eski bir Wi-Fi yönlendiricinin güvenlik açıklarını analiz edip bunu blogda paylaşmaya çalıştığına dair bir deneyim paylaşılıyor

  • Üretici güncellemeleri durdurduğu için yeni ekipman satın almak zorunda kaldığı deneyimi

• Ubiquiti Edge Router kullanmış ama uzun vadede memnun kalmamış

  • Protectli kutusu satın alıp coreboot flash’ladı, pfSense kullandı ve sonra OPNSense’e geçti

• Tüketici ağ ekipmanları güvenlik açısından zayıf; güvenliğe önem verenler bunları kullanmamalı

• Eski donanıma OpenWRT flash’lanması öneriliyor

  • pfSense veya OPNSense çalıştırabilen donanım satın almanın daha iyi olduğu söyleniyor

• D-Link’in ürün sonlandırmasıyla ilgili bug’ın arka planı açıklanıyor

  • OpenWRT kullanma yöntemi tanıtılıyor

• CVSS puanına yönelik eleştiri

  • CVE puanlarının güvenlik açıklarının gerçek etkisini değerlendirmede faydalı olmadığı belirtiliyor

• MikroTik yönlendiricilerin UI’ının uzman olmayan kullanıcılar için uygun olmaması üzücü

  • Ucuz ve uzun vadede destekleniyor, ancak UI uzman olmayanlar için zor