D-Link se niega a corregir vulnerabilidad en sus Router DIR-300 y DIR-600

D-Link se niega a corregir vulnerabilidad en sus Router DIR-300 y DIR-600

por

Vulnerabilidad en los router D-Link DIR-300 y DIR-600 permite la ejecución de código con permisos de administrador.

D-Link, conocida empresa desarrolladora de productos de conectividad (routers, módems, tarjetas de red LAN/WiFI) y periféricos para PC, ha desatado cierto malestar entre los usuarios de sus routers DIR-300 (fabricado en el 2007) y DIR-600 (fabricado en el 2009), al negarse a desarrollar un nuevo firmware que cierre una vulnerabilidad recientemente descubierta.

El investigador especializado en seguridad Michael Messner, ha descubierto una vulnerabilidad en los routers D-Link DIR-300 y DIR-600 que permite a hackers y otros atacantes ejecutar código malicioso a nivel administrador (root). La vulnerabilidad es causada por la falta de restricciones de acceso y validación de entrada en el parámetro CMD; además que de ambos router almacenan las contraseñas de acceso en formato texto (“fácilmente” accesible a los hackers).

Para explotar la vulnerabilidad se requiere que los atacantes tengan acceso a un navegador autenticado, lo cual permite ataques vía internet. Ello permite a los atacantes (ciber-criminales) redirigir todo el tráfico de internet a un servidor arbitrario.

El investigador afirma haber notificado a D-Link del problema, pero la respuesta de D-Link nos deja atónitos, pues no planea hacer nada al respecto, aduciendo que “este es un problema de seguridad proveniente del usuario y/o el navegador web”.

Reconocemos que ambos productos son algo antiguos (6 años de antigüedad en el caso del router D-Link DIR-300), pero aún así esperamos que D-Link cambie de parecer con respecto a esta recientemente descubierta vulnerabilidad.

Link: Vulnerability in D-Link Routers Allows Hackers to Execute Malicious Code  (Softpedia)

También pueden comentar en nuestro foro.