CERT-FI haavoittuvuustiedote 133/2008

31.10.2008

Haavoittuvuuksia A-link WL54AP3-tukiasemissa


Kohde:	- verkon aktiivilaitteet	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- tietojen muokkaaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

A-link WL54AP3 WLAN-tukiasemasta on löydetty CSRF (Cross-Site Request Forgery) ja XSS (Cross-Site Scripting) -haavoittuvuuksia. Haavoittuvuudet mahdollistavat pääkäyttäjätoimintojen suorittamisen hallintaliittymässä mikäli käyttäjä saadaan houkuteltua tietyllä tavalla muotoillulle sivustolle. Pääkäyttäjätoimintoja ovat esimerkiksi pääkäyttäjän tunnuksen, salasanan ja nimipalvelutietojen vaihto.

Onnistuakseen haavoittuvuuksien hyväksikäytössä hyökkääjän tarvitsee tietää hallintaliittymän osoite, joka on oletuksena sama kaikissa päätelaitteissa.

HAAVOITTUVAT OHJELMISTOT:

A-LINK WL54AP3 / WL54AP2 versiota 1.4.2 aiemmat versiot

WL54AP2 on ns. end of life -product, eli tuotteelle saatava tuki ja päivitykset saattavat olla rajalliset.

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuudet on mahdollista korjata päivittämällä päätelaitteen ohjelmisto valmistajan ohjeiden mukaisesti. Lisätietoja valmistajan sivuilta, http://www.a-link.com

LISÄTIETOA:

PÄIVITYSHISTORIA:

31.10.2008, kello 21:20: Julkaistu

Sivua päivitetty 05.11.2008

Tulostusversio