超過 21,000 台 Linksys 路由器外洩連接歷史記錄

然而廠商表示未能重現相關問題。

超過 21,000 台 Linksys 路由器外洩連接歷史記錄

擔當著把互聯網帶到你手上這一重要角色的路由器,自然會處理到所有連接裝置的資料記錄。安全研究員 Troy Mursch 就發現到 Linksys 有 33 個型號的路由器,包括 Max-Stream 和 Velop 型號都有外洩裝置連接歷史記錄的可能,當中包括 MAC 地址、裝置名稱和 OS 版本。更叫人擔心的是連路由器的預設密碼有沒有被修改都可以知道,在掃描過 21,401 至 25,617 台有漏洞的已連線路由器中,他指有 4,000 台路由器仍然在使用預設密碼。

駭客只需要到路由器位址並簡單運行裝置列表請求,就可以獲得上述提及的資料,而且防火牆功能不能起保護作用。Mursch 向 Ars Technica 表示,Linksys 雖然在 2014 年釋出補丁,但也不能修復這漏洞。以上的數據要是落到惡意之徒手上,就可以透過分析連接的手機、裝置是否在用有漏洞的舊版本系統,從而揀選甚至監視攻擊目標。如果被發現路由器仍在使用預設密碼,那更可能藉此綁架機器並進行其他不法活動。

不過這漏洞是否如 Troy Mursch 所形容的危險呢?因為 Linksys 表示他們「沒法重現」相關的問題,同時認為 Mursch 所發現的有問題路由器都是在使用舊版韌體,或是防火牆功能沒有開啟。雖然雙方對於這漏洞都有不同說法,但做為一般消費者就只能打著最壞打算,同時要採取自保的措施,包括確保路由器的韌體版本是最新以及開啟開火牆功能,最基本的是要換個路由器的密碼吧。

來源: Linksys, Bad Packets Report

經由: Engadget, Ars Technica