Af Eskil Sørensen, 30/09/20
Chipproducenten Synopsys har udsendt en advarsel om sårbarheder, der muliggør omgåelse af godkendelsesfeaturen i chipsene, dvs. bypass authentification, i flere trådløse routersæt, der er indbygget i enheder fremstillet af Qualcomm, MediaTek og Realtek. Det skriver Dark Reading.
Sårbarhederne har numrene CVE-2019-18989, CVE-2019-18990 og CVE-2019-18991, men de har ikke fået CVSS-score endnu. Synopsys sikkerhedscenter skriver i sin advisory, at de ikke har været i stand til lave en fuld list over sårbare enheder og chipsæt, dvs. at chipsene kan være indeholdt i andre produkter end de nævnte.
Som reaktion på sårbarheden siger MediaTek og Realtek, at patches vil blive gjort tilgængelige, mens Qualcomm oplyser, at enheder med de identificerede chipsæt alle har nået end-of-life og at sårbarheden derfor ikke påvirker aktuelt understøttede chipsæt.
Det fremgår af artiklen i Dark Reading, at Synopsys har kontaktet alle producenter bag de enheder, der er blevet testet. Både D-Link og Zyxel har bekræftet, at de har patchet og rettelser vil blive udsendt.
Links:
https://www.synopsys.com/blogs/software-security/cyrc-advisory-sept2020/
https://www.darkreading.com/vulnerabilities---threats/vulnerability-in-wireless-router-chipsets-prompts-advisory/d/d-id/1339032
https://www.infosecurity-magazine.com/news/wireless-router-chipsets-bypass/