낮은 확률 Linksys Testaankoop이 보고한 보안 문제
잠재적인 보안 문제에 대한 모든 보고는 심각하게 받아들여지고 조치됩니다. Linksys. 홈 라우터의 선구자이며 거의 4년 동안 전 세계적으로 운영되어 온 회사로서, 당사의 보안 절차와 대응은 항상 사실에 근거하고 투명합니다. 이 커뮤니케이션은 Testaankoop이 처음 보고한 보안 문제에 대한 보고에 대한 공개적인 대응이지만, Testaankoop에서 시작된 것으로 보이지 않으며 문제를 재현했다는 증거를 확인하거나 보여주지도 않았습니다. 지금까지 Rapid7 외에는 아무도 Linksys 당사 제품을 테스트하도록 계약한 회사는 특수한 실험실 환경에서만 문제를 재현할 수 있었으며, 특수 도구를 사용하고 LAN과 WAN 모두에 대한 제한 없는 권한이 부여되었습니다.
아래 응답을 읽기 전에 다음 사항을 이해하는 것이 중요합니다. Linksys' 아키텍처와 운영은 업계 고유의 것입니다. 우리는 홈 라우터나 Linksys 모바일 앱. 사용하는 경우 Linksys 모바일 앱, 설치 및 구성 중에 선택된 데이터 요소가 사용되지만 저장되거나 관찰되지 않습니다. Linksys. 브라우저 기반 로컬 사용자 인터페이스를 사용하는 경우 설치, 구성 또는 진행 중인 작업에 사용되는 데이터는 전혀 볼 수 없으며 저장되는 것도 더더욱 없습니다. Linksys; 모든 내용이 기기 내에서 로컬로 유지됩니다.
저확률 타임라인 Linksys 보고된 보안 문제 테스탄쿠프
아래 응답을 읽기 전에 다음 사항을 이해하는 것이 중요합니다. Linksys' 아키텍처와 운영은 업계 고유의 것입니다. 우리는 홈 라우터나 Linksys 모바일 앱. 사용하는 경우 Linksys 모바일 앱, 설치 및 구성 중에 선택된 데이터 요소가 사용되지만 저장되거나 관찰되지 않습니다. Linksys. 브라우저 기반 로컬 사용자 인터페이스를 사용하는 경우 설치, 구성 또는 진행 중인 작업에 사용되는 데이터는 전혀 볼 수 없으며 저장되는 것도 더더욱 없습니다. Linksys; 모든 내용이 기기 내에서 로컬로 유지됩니다.
저확률 타임라인 Linksys 보고된 보안 문제 테스탄쿠프
- 19 년 2023 월 XNUMX 일 : 수상 Rapid7 보고서, 대신하여 실행됨 Linksys, 낮은 확률(우선순위 3/심각도 3) 보안 구성에 대한 우려 사항(2) Linksys 소매 SKU
- 11 월 28th, 2023 : Linksys 마케팅 부서에서 이메일을 전달했습니다. Which? Rapid7과 동일한 정확한 문구를 사용하여 이 동일한 취약점을 보고합니다. Linksys 개발
- 11 월 28th, 2023 : Linksys 개발은 다음에 대응했습니다. Which? 같은 날 보안 양식을 제공하여 다시 제출할 수 있습니다. Linksys 개발
- 11 월 30th, 2023 : Which? 답변 Linksys 28월 XNUMX일 요청했지만 추가 세부 정보를 제공하지 않았고 문제를 재현할 수 있는지 확인할 수 없었습니다.
- 4 년 2023 월 XNUMX 일 : Which? Bug Crowd를 통해 공개 보고서를 제출하고 문제를 중간 확률로 업그레이드했지만 추가/조치 가능한 세부 정보는 제공하지 않았습니다.
- 5 년 2023 월 XNUMX 일 : 버그크라우드 문제를 재현할 수 없다는 것을 확인하고 Which에 자세한 정보를 요청했습니다. Which는 BugCrowd 요청에 응답하지 않았습니다.
- 5 년 2023 월 XNUMX 일 : 벨기에의 시장 조사원이 이메일을 보냈습니다. Linksys 마케팅, 제출되었지만 추가 세부 정보를 제공하지 않았고 확인하지 않은 BugCrowd 보고서를 참조합니다.
- 제한된 노출: 영향을 받는 SKU 2개(XNUMX) (Linksys Velop Pro 6E 및 Linksys Velop Pro 7) - WAN/ISP 측에 국한된 보안 구성 문제를 악용하려면 "악의적인 행위자"에게 홈 라우터에 대한 실시간 물리적 액세스와 ISP 네트워크를 통과할 수 있는 전체 가시성 및 권한과 함께 고도로 특수화된 도구가 필요합니다.
- 낮은 확률의 실제 위험: 잠재적인 착취에는 다음을 정렬하기 위한 여러 가지 매우 불가능한 조건이 필요합니다.
- 홈 라우터에 대한 물리적 및 유선 액세스(해커가 특수 도구를 사용하여 홈에 있어야 함)
- ISP 인프라 및 암호화에 대한 액세스(ISP 허가 필요 또는 네트워크 해킹 필요)
- 의 사용 Linksys 모바일 앱(대부분의 Linksys 사용자는 모바일 앱이 아닌 로컬 UI/브라우저를 사용하여 영향을 받는 SKU를 구성합니다.
- 발견: Linksys 계약업체 Rapid7은 우선순위 3/심각도 3으로 분류된 문제를 발견하고 보고했습니다.
- P3/S3 문제는 보고된 후 6~9개월 내에 정기적으로 수정됩니다.
- Linksys 서버 측 변경(펌웨어에 독립적) Linksys 보고된 보안 구성 문제를 방지하는 서버 측 구성 변경의 제어된 롤아웃을 이미 시작했습니다. 롤아웃에 대한 다운타임은 예상되지 않습니다.
- Linksys 클라이언트 측 변경: 영향을 받는 두(2)개의 Retail SKU에 대한 클라이언트 측 펌웨어에는 위에 언급된 서버 측 변경에 대한 추가 보호가 포함되어 있으며 26월 XNUMX일까지 제공될 예정입니다. 고객은 오늘 지원 티켓을 열어 엔지니어링 빌드를 요청할 수 있습니다.
- 로컬 UI/브라우저 기반 라우터 구성: Linksys 로컬 UI/브라우저 기반 설치 및 구성을 사용하는 대신 계속해서 홍보합니다. Linksys 모바일 애플 리케이션
- 주의 사항 낮은 확률 Linksys 영향을 받는 SKU를 설치 및 구성하는 데 로컬 UI/브라우저를 사용한 경우 보안 문제가 발생하지 않았습니다. Linksys 모바일 애플 리케이션
- Linksys 현재 전 세계적으로 150개 이상의 SKU를 배송 중이며 두 개(2)의 소매 SKU가 영향을 받지만 서버 측 변경이 이미 구현되었고 클라이언트 측 펌웨어가 30월 XNUMX일까지 업데이트되면 두 배로 안전해질 것이므로 현재 작동하기에 안전한 것으로 간주됩니다.
- 영향을 받는 SKU는 모두 소매 SKU(MX62xx, MBE7xxx)입니다.
- 인터넷 서비스 공급자(ISP) SKU나 100개 이상의 다른 소매 SKU는 영향을 받지 않습니다.