Her ses nogle af de routere, der indeholder sårbarheden Misfortune Cookie. Se hele listen her.

Alvorlig sårbarhed lever videre i millioner af routere trods advarsler

ComputerViews: Sårbarheden Misfortune Cookie, der blev advaret om før jul, får lov til at leve videre i de fleste routeres firmware. Svigter producenterne deres ansvar, eller er det helt fair, at de ikke kommer med ny firmware?

Kan man forvente, at en router-producent rubber neglene og får sendt en firmware-opdatering afsted, der kan lukke velkendt sårbarhed?

Tilsyneladende er svaret på det spørgsmål ikke helt så ligetil, som man måske kunne tro.

I hvert fald er det meget sparsomt med de offentlige reaktioner fra en stribe router-producenter, efter at sikkerhedsfirmaet Check Point før jul afslørede sårbarheden Misfortune Cookie, der findes i omkring 12 millioner routere verden over.

Patch har eksisteret siden 2005
Det er et velkendt problem, at mange producenter kan være længe om at udsende ny firmware til routerne, når nye sårbarheder opdages, men tilfældet Misfortune Cookie er alligevel lidt i en kategori for sig selv.

Allerede i 2005 blev der nemlig frigivet en patch, der kunne lukke det hul i routerne, som der i december blev advaret om.

Sårbarheden ligger i webserversoftwaren RomPager fra Allegro Software, der indgår i firmwaren på et hav af routere.

I 2005 udsendte Allegro Software en opdateret udgave af RomPager, der skulle lukke hullet, men det førte ikke til de store handlinger fra router-producenternes side.

Heller ikke nu, hvor Check Points advarsler om Misfortune Cookie har været bragt i alverdens it-medier, ser det ud til, at virksomhederne bag de 12 millioner routere har fået specielt travlt med at opdatere firmwaren.

Af Check Points liste over de sårbare routere fremgår det, at der er tale om 200 forskellige routere fra en stribe producenter, heriblandt D-Link, Edimax, Huawei, TP-Link, ZTE og ZyXEL.

ZyXEL er en af de producenter, der rent faktisk har reageret på afsløringerne og også har udsendt firmware-opdateringer - men kun til en mindre del af de routere, der - ifølge Check Point - indeholder sårbarheden.

Resten betegnes som "end-of-live" af ZyXEL, fordi det er routere af ældre dato, der ikke længere supporteres.

Hvornår er det ok at droppe opdateringer?
Det er formentlig også forklaringen på, at det umiddelbart er meget begrænset, hvor meget de andre producenter gør ved problemet.

Før eller siden må man vel stoppe med at opdatere firmwaren, ligesom Microsoft jo også stopper med at opdatere ældre Windows-versioner på et tidspunkt?

Den argumentation halter bare på et bestemt punkt:

Allegro Software udsendte den opdaterede version af RomPager for snart 10 år siden.

Selskabet skrev før jul i en redegørelse, at virksomheden "stærkt opfordrer producenter af indlejrede produkter til netværk til at vedligeholde med den seneste komponent-software i deres produkter."

"Desværre er det ikke alle producenter, der bruger Allegro Software-produkter, der har opdateret deres enheder med den seneste RomPager-software. I nogle tilfælde fortsætter producenter med at fremstille og sælge produkter med software-komponenter, der er over 13 år gamle, hvilket kan udsætte produkterne for sikkerhedsrisici."

Med andre ord kan nogle routerproducenterne altså meget vel have kendt til sårbarheden, da de spyttede de - dengang - spritnye routere ud på markedet. 

Det betyder Misfortune Cookie
Check Point har betegnet Misfortune Cookie som "en af de mest udbredte sårbarheder, der er afsløret i de senere år."

Samtidig har selskabet forklaret, at det netop er de manglende firmware-opdateringer, der er med til at gøre sårbarheden så alvorlig.

Misfortune Cookie kan betyde, at it-kriminelle kan få fjernadgang til de enheder, der er sluttet til et kablet eller trådløst netværk.

"Hvis din gateway-enhed er sårbar, så er alle enheder, der er sluttet til dit netværk - inklusiv computere, telefoner, tablets, printere, sikkerhedskameraer, køleskabe, brødristere og alle andre netværks-enheder dit hjem eller på kontoret - i risiko for kompromittering," har Check Point forklaret.

Det ser heldigvis ikke ud til at Danmark er blandt de lande, hvor risikoen for angreb er størst.

Danmark får på Check Points "measured vulnerability exposure" bedømmelsen 1, der er et udtryk for den laveste risiko.

I lande som Irland, England, Polen og Tjekkiet er situationen ifølge Check Point værre, mens eksempelvis både Norge, Sverige, Tyskland og Holland ligger på niveau med Danmark.

Værst ser situationen ud i lande som Algeriet, Yemen og Kazakhstan, som Check Point tildeler 5 point i målingen.

Tilbage står dog stadig det grundlæggende spørgsmål: Hvor længe kan man forvente, at router-producenterne fortsætter med at opdatere firmwaren i routerne?

Og har de generelt levet op til deres ansvar i forhold til sårbarheden Misfortune Cookie?

Hvad mener du?

Læs også:

Patch blev frigivet allerede i 2005: Alligevel står 12 millioner routere nu pivåbne

Millioner af routere ramt af kritisk sårbarhed: Sådan ser det ud i Danmark

Her er listen over de sårbare routere: Disse produkter er ramt af kritisk sårbarhed



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Kompetera A/S
Hardware, licenser, konsulentydelser

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Kompetera SolutionsDay 2017

Som it-professionel i dag forventes du at have et bud på fremtiden, fod på sikkerheden og fuldt styr på driften. På Kompetera SolutionsDay 2017 får du inspiration og svar - kom og hør spændende indlæg fra blandt andre Jakob Scharf tidligere chef for PET og Ken Bonefeld Nielsen, head of corporate security & ACA Department hos Sony Mobile Communications.

05. oktober 2017 | Læs mere


Få mere fart på og kvalitet i udviklingsafdelingen med DevOps

Få indsigt i den populære DevOps-tankegang, der kendetegner den moderne it-organisation, hvor samarbejde og integration er nogle af nøgleordene. Kom og hør konkrete cases fra virksomheder, der arbejder efter DevOps og mød de førende leverandører, der fortæller, hvordan du kommer derhen, hvor udviklingsafdelingen kan understøtte den digitale innovation med de ideer og i det tempo, som der forventes.

10. oktober 2017 | Læs mere


EU persondataforordning - praktiske løsninger på dataudfordringer

Seminaret sætter fokus på dataportabilitet, Right to be Forgotten og 72-timers notifikationsreglen. Den 25. maj 2018 skal det hele være på plads! Her skal danske virksomheder leve op til EUs nye regler om databeskyttelse. Deltag og få indsigt i metoder og praktiske eksempler.

11. oktober 2017 | Læs mere






Computerworld
De 30 største danske it-virksomheder: Her er antallet af ansatte - og hvor mange penge, der bruges på løn
Top 100: Computerworld har nærstuderet årsregnskaberne fra 499 danske it- og televirksomheder og kan her bringe listen med de 30 største arbejdspladser. Se antallet af ansatte og få et indblik i, hvor mange penge virksomhederne bruger på løn til medarbejderne.
CIO
Du risikerer at blive hægtet helt af, hvis ikke dit netværk bliver fremtidssikret - og det haster
Klumme: Hver dag går mere 168,1 petabyte gennem netværket hos AT&T, hvilket svarer til 130 millioner timers video i HD. Det viser, hvor store krav der i dag stilles til en virksomheds netværk. Er du klar til det?
Comon
Oversigt: Her er de bedste Android-smartphones der kan købes i Danmark
Det vrimler med spændende Android-smartphones på markedet. Vi har samlet en oversigt over de bedste Android-telefoner, du kan købe herhjemme netop nu.
Job & Karriere
Se listen: Disse it-folk bliver ansat på stedet - cheferne skriger efter helt bestemte it-kompetencer
Der er en markant mangel på it-folk med helt bestemte kompetencer samtidig med, at it-cheferne er i gang med at øge bemandingen i it-organisationerne. Se listen med de mest efterspurgte it-kompetencer netop nu.
White paper
Sådan får mindre virksomheder ny it-infrastruktur i topklasse til lavpris
Digitaliseringen buldrer frem i erhvervslivet, og store virksomheder har travlt med at investere i nye it-løsninger for at placerer sig bedst muligt i en konkurrencesituation, der bliver stadig mere skarp. Det mærker man også i de mindre virksomheder, men for dem er indkøb og vedligeholdelse af et it-system ofte en uoverskuelig og kostbar opgave, der tilmed kræver særlige kvalifikationer, som virksomheden måske ikke selv besidder. Her kan ny, moderne hyperkonvergeret it-teknologi være løsningen. Læs i dette whitepaper om fordelene og detaljerne i en komplet, nøglefærdig it-infrastruktur fra Lenovo, Intel og Nutanix, som tilmed er prismæssigt meget gunstig.