Lage waarschijnlijkheid Linksys Beveiligingsprobleem gemeld door Testaankoop

Elke melding van een mogelijk beveiligingsprobleem wordt serieus genomen en er wordt actie op ondernomen door Linksys. Als het bedrijf dat Home Routers pionierde en al bijna 4 decennia wereldwijd actief is, zijn onze beveiligingsprocedures en -reacties altijd feitelijk en transparant. Deze communicatie is een openbare reactie op een rapport van een beveiligingsprobleem dat voor het eerst werd gemeld door Testaankoop, hoewel het niet lijkt te zijn ontstaan ​​door hen, noch hebben zij bevestigd of bewijs geleverd dat zij het probleem hebben gereproduceerd. Tot op heden heeft niemand anders dan Rapid7, die Linksys die is ingehuurd om onze producten te testen, is er ooit in geslaagd het probleem te reproduceren en dan nog alleen in een speciaal laboratorium, met behulp van gespecialiseerde hulpmiddelen en met onbeperkte rechten voor zowel het LAN als het WAN.

Voordat u het onderstaande antwoord doorleest, is het van cruciaal belang om te begrijpen dat Linksys'architectuur en -bewerkingen zijn uniek voor de industrie. We verzamelen of bewaren GEEN apparaat- of gebruikersgegevens die worden gegenereerd door onze Home Routers of de Linksys Mobiele app. Als u de Linksys Mobiele app, geselecteerde data-elementen worden gebruikt tijdens de installatie en configuratie, maar worden nooit opgeslagen of waargenomen door LinksysAls u de browsergebaseerde lokale gebruikersinterface gebruikt, worden de gegevens die worden gebruikt voor installatie, configuratie of doorlopende werking nooit gezien, laat staan ​​opgeslagen door Linksys; alles blijft lokaal op uw apparaat.

Tijdlijn van lage waarschijnlijkheid Linksys Beveiligingsprobleem gemeld door Testaankoop

• 19 september 2023: Ontvangen Rapid7 rapport, uitgevoerd namens Linksys, met betrekking tot een beveiligingsconfiguratie met een lage waarschijnlijkheid (Prioriteit 3/Ernstigheid 3) op twee (2) Linksys Retail-SKU's
• 28 november 2023: Linksys Marketing heeft een e-mail doorgestuurd van Which? het melden van dezelfde kwetsbaarheid (met exact dezelfde bewoordingen als Rapid7) aan Linksys Ontwikkeling
• 28 november 2023: Linksys Ontwikkeling reageerde op Which? dezelfde dag en een beveiligingsformulier verstrekt dat moet worden teruggestuurd naar Linksys Ontwikkeling
• 30 november 2023: Which? beantwoord Linksys Verzoek van 28 november, maar gaf geen aanvullende details en kon/kon niet bevestigen dat hij het probleem kon reproduceren
• 4 december 2023: Which? heeft een openbaar rapport ingediend via Bug Crowd, waarbij het probleem werd geüpgraded naar Matige waarschijnlijkheid, maar er werden geen aanvullende/bruikbare details verstrekt
• 5 december 2023: Bugcrowd  bevestigde dat ze het probleem niet konden reproduceren en vroeg Which om meer informatie. Die niet reageerde op het BugCrowd-verzoek
• 5 december 2023: Een marktonderzoeker uit België mailde Linksys Marketing, verwijzend naar het BugCrowd-rapport dat Which heeft ingediend, maar geen aanvullende details heeft verstrekt en niet heeft bevestigd dat ze het konden

Blootstellingsbeoordeling van beveiligingsprobleem met lage waarschijnlijkheid gerapporteerd door Testaankoop

• Beperkte blootstelling: Twee (2) getroffen SKU's (Linksys Velop Pro 6E en Linksys Velop Pro 7) - om het probleem met de beveiligingsconfiguratie te exploiteren, dat beperkt is tot de WAN/ISP-kant, zou de "slechte actor" zeer gespecialiseerde hulpmiddelen nodig hebben, samen met fysieke toegang in realtime tot de thuisrouter en volledige zichtbaarheid en toestemming om het ISP-netwerk te doorkruisen
• Reëel risico met lage waarschijnlijkheid: Potentiële uitbuiting zou meerdere en zeer onwaarschijnlijke voorwaarden vereisen om op één lijn te komen:
• Fysieke en bekabelde toegang tot de thuisrouter (vereist dat de hacker in huis is met gespecialiseerde tools)
• Toegang tot ISP-infrastructuur en encryptie (vereist toestemming van de ISP of om het netwerk te hacken)
• Gebruik van de Linksys Mobiele app (meerderheid van Linksys Gebruikers gebruiken de lokale gebruikersinterface/browser om de betreffende SKU's te configureren, niet de mobiele app)

Linksys Maatregelen die zijn genomen om het door Testaankoop gerapporteerde beveiligingsprobleem met een lage waarschijnlijkheid te beperken

• Ontdekking: Linksys aannemer Rapid7 ontdekte en rapporteerde het probleem dat was geclassificeerd als Prioriteit 3/Ernstigheid 3
• P3/S3-problemen worden routinematig binnen zes tot negen maanden na melding opgelost
• Linksys Server-side wijziging (firmware onafhankelijk) Linksys is al begonnen met een gecontroleerde uitrol van een server-side configuratiewijziging die het gerapporteerde beveiligingsconfiguratieprobleem voorkomt. Er wordt geen downtime verwacht voor de uitrol
• Linksys Wijziging aan de clientzijde: Firmware aan de clientzijde voor de twee (2) betrokken Retail-SKU's biedt extra bescherming voor de hierboven genoemde wijziging aan de serverzijde en zal vanaf 26 juli beschikbaar zijn. Klanten kunnen vandaag nog een supportticket openen om een ​​technische build aan te vragen
• Lokale UI/browsergebaseerde routerconfiguratie: Linksys blijft de lokale UI/browser-gebaseerde installatie en configuratie promoten in plaats van het gebruik van de Linksys Mobile App
• Note de lage waarschijnlijkheid Linksys Er was geen sprake van een beveiligingsprobleem toen de lokale gebruikersinterface/browser werd gebruikt om de betrokken SKU's te installeren en configureren in plaats van de Linksys Mobile App

Betrokken SKUS van beveiligingsprobleem met lage waarschijnlijkheid gemeld door Testaankoop

• Linksys verzendt momenteel wereldwijd meer dan 150 SKU's, twee (2) Retail SKU's worden beïnvloed, maar worden momenteel als veilig beschouwd om te gebruiken omdat de server-side wijziging al is geïmplementeerd en dubbel veilig zal zijn zodra de client-side firmware vóór 30 juli is bijgewerkt
• De getroffen SKU's zijn alle Retail-SKU's - MX62xx, MBE7xxx
• Houd er rekening mee dat er geen sprake is van een ISP-SKUS (Internet Service Provider) of meer dan 100 andere Retail-SKU's