IT業界資訊媒體

【研究員心聲】搵漏洞唔難 同人溝通先最難

研究員搵漏洞,除咗想維護網絡安全,亦希望對方可以正視問題,之不過站於對方立場,醜事梗係收埋最好。早前有研究員發現一款路由器有嚴重漏洞,之不過廠方嘅回應就有好大改善空間囉。

Singtel 旗下網絡安全研究團隊 Trustwave 嘅 Spiderlabs 喺年初發現,一款 D-Link ADSL2+ 路由器出現嚴重漏洞,可以唔使認證,直接從網頁上獲取路由器資料,當中更包括密碼。方法就係喺路由器嘅 index.asp 頁內搜尋 username_v 及 password_v 參數,咁就攞到用戶嘅登入資料。此漏洞非常嚴重,意味著黑客可以控制路由器、截取當中嘅數據傳輸。

Trustwave 當然有向 D-Link 通報,不過,對方似乎唔係好理。原本 Trustwave 設立咗 90 日修補期限,修補唔到漏洞就會公開事件,但佢哋指 D-Link 回應喺期限內修復唔到,結果拉拉扯扯下期限一再延長,後期甚至完全唔回覆 Trustwave。結果喺最後一次期限到達前,D-Link 先至回應話漏洞已經修補咗,但就無解釋到點樣做到。

搞得掂,發現漏洞嘅研究員自然開心。推出嘅修補方案 DSL-2875AL 及 the DSL-2877AL 已經推出,D-Link 方面喺回應媒體時話,嗰款路由器已經停產超過一年,而 Trustwave 發現嘅漏洞已經一早修補咗;而由於呢款路由器喺澳洲廣泛使用,所以 D-Link Australia 亦走出嚟回應,話 Trustwave 無人搵過佢哋喎。

Trustwave 當然嬲到震,搞咗一大輪,D-Link 方面又唔交代清楚,又唔好好回應問題,咁樣對發現漏洞嘅研究員有好負面嘅影響云云。所以話,有時搵漏洞唔難,難就難在要同人溝通呀。

資料來源:https://bit.ly/2lJPQIy

相關文章:【出師未捷】俄羅斯國家級黑客 轉攻企業 IoT 裝置詭計敗露