Ubiquiti-netwerkproducten bevatte beveiligingslekken

Dat melden de onderzoekers van het Oostenrijkse SEC Consult op hun website. Een kwaadwillende kan met dit lek een netwerk in zijn geheel overnemen.

Werking

De kwetsbare plek bevindt zich in de zogeheten command injection van de beheerdersinterface. De kwaadwillende kan het lek gebruiken door het slachtoffer op een link te laten klikken of een website te laten bezoeken.

De aanval is, wegens het ontbreken van cross-site request forgery-bescherming, uitvoerbaar via enkel een GET-verzoek. Een aanval plegen is daardoor vrij gemakkelijk. Indien het Ubiquiti-apparaat dienst doet als router of firewall kan zelfs het gehele netwerk overgenomen worden.

Oplossing

SEC Consult stelde Ubiquiti Networks in november al op de hoogte over de beveiligingslekken. De netwerkfabrikant bleek echter veel moeite te hebben met het dichten. Inmiddels heeft een patch de kwetsbare plekken verholpen.