| |
| |
| |
| 4.69, ryoken (ok), 09:01, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > Дно линк же
В данном случае точнее будет ДыркоЛинк или попросту - дуршлаг.
| | |
|
|
|
| 1.7, Аноним (7), 22:30, 18/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– | |
> указание в путях ключевых слов из белого списка, наличие которых приводит к выполнению запроса без аутентификации
Это красиво...
| | |
| 1.8, Аноним (-), 22:31, 18/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– | |
Походу вебморды безопасно делать - ну вообще не умеют. Что за позор - у всех без авторизации даже? Гребаный стыд, неужели нельзя при таких сокращениях вместо сотен тысяч уволеных нанять пяток разумных людей? Ну раз то за историю человечества можно подраспереться и вебинтерфейс нормально сделать? Если дорого - ну скинулись бы на всю ораву, на тиму из пятка кодеров. Небось не обанкротятся с такого, а?!
А то то system() то отсустствие проверок что тушка авторизована. Это просто какой-то позор!
| | |
| |
| 2.11, Аноним (11), 22:44, 18/09/2023 [^] [^^] [^^^] [ответить]
| +11 +/– |
Уже сделали, называется OpenWRT. Просто в следующий раз при покупке девайса сверяйся со списком и обращай внимание на методы установки.
| | |
| |
| 3.41, Аноним (-), 04:39, 19/09/2023 [^] [^^] [^^^] [ответить]
| –7 +/– |
> Уже сделали, называется OpenWRT. Просто в следующий раз при покупке девайса
> сверяйся со списком и обращай внимание на методы установки.
А ну его, изгадили все. Блоатварь жуткая, на половину роутеров не лезет, на не очень новых браузерах типа старых андроидов кривое и полурабочее, сервисы в систему запиливать жутко мучительно а генерация конфигов программ из UCI - они Поттеринга уделали, с отрывом.
| | |
| |
| 4.49, Аноним (49), 06:23, 19/09/2023 [^] [^^] [^^^] [ответить]
| +5 +/– |
Не лезет только на совсем уж дохлые роутеры, которые и использовать на текущий момент нету смысла (если важна скорость).
| | |
| |
| 5.108, Аноним (-), 14:46, 19/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Ну да, ну да, докупите хардвар, обновите браузер, блаблабла. Вебманки дорвались до опенврт. И изгадили его, такая печалька. Потому что большую часть места жрет внезапно это самое блоатуси.
А чтоб совсем не скучно - генеряемые конфиги даже вот Поттерингу слабо было. А у этих в результате в системе отрасли все недостатки системды, никаких достоинств, стартует этот позор минуту даже на быстром роутере, так что любое действо требующее ребут (а у них оно требуется даже для автовыбора канала заново чтобы с загаженого региона слезть) это очень заметное прерывание сервиса.
И вот зачем оно такое надо? Даже морда дырлинка на древнем планшете нормально работает - в отличие от этого позора. Это теперь что, покупать новые планшеты для того чтобы поменеджить вафельницу? Да вы издеваетесь.
| | |
| |
| 6.122, Аноньимъ (ok), 17:18, 22/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
 OpnSense ставьте на копеечную машинку.
А "домашний роутер" рогатый в режим точки доступа. И будет счастье.
| | |
|
|
|
| 3.91, fi (ok), 10:39, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
 Ха - 3 раза!
в OpenWRT в Luci постоянно встречается system() :DDDD
A авторы прямо говорят - мы делаем для локальной доверенной сети, безопасность "не нужна"
| | |
|
| 2.12, Аноним (12), 22:44, 18/09/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
С такими заявлениями ты первый отправишься на мороз, а вместо тебя наймут двух индусов. Если они будут косячить и не справляться, то... нет, тебя не попросят вернуться. Будут нанимать ещё индусов, до победного.
| | |
| 2.13, yet another anonymous (?), 22:46, 18/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
"web-морда" и "относительно надёжная аутентификация" --- это оксюморон. Так что нанимай кого хочешь --- результаты близко лягут.
| | |
| 2.14, Аноним (14), 22:50, 18/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ну, во-первых, это удобно. А, во вторых, за безопасность кода разрабам не платят. К тому же, если писать безопасно, то тысячи сотрудников из Пакистана останутся без работы. Да и придётся "сотрудничать" со спецслужбами СГА и внедрять дыры уже намеренно, а это лишние проблемы.
| | |
| 2.20, Tron is Whistling (?), 23:43, 18/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Хуже всего у жунипера - там дыра такая, что до аутентификации даже дело не доходит.
Второе место - да, у белолистиков.
| | |
| 2.50, bOOster (ok), 06:41, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Текущая ситуация с роутерами ждет и всех остальных с повсеместным растом и толпой недопрограммистов целиком полагающихся на него.
| | |
| 2.88, BeLord (ok), 10:23, 19/09/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Разумные люди занимаются другими вопросами, кодеры тебе не помогут, за кодерами должен стоять человек с системным мышлением и знаниями в области безопасности, а это дорогой специалист, а бизнес никогда не будет платить просто так, вот если ему за нарушение безопасности будут бить по голове, тогда бизнес почешется, а так, будет, как всегда.
| | |
| |
| 3.100, keydon (ok), 13:26, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
 > Разумные люди занимаются другими вопросами, кодеры тебе не помогут, за кодерами должен
> стоять человек с системным мышлением и знаниями в области безопасности, а
> это дорогой специалист, а бизнес никогда не будет платить просто так,
> вот если ему за нарушение безопасности будут бить по голове, тогда
> бизнес почешется, а так, будет, как всегда.
Отдел информационной безопасности? Увы, это не работает.
| | |
| 3.119, Аноним (119), 15:16, 20/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> кодеры тебе не помогут, за кодерами должен стоять человек с системным мышлением и знаниями в области безопасности
Моё мнение, что сами кодеры должны заниматся безопасностью своих программ. Но это возможно только если их руководство заинтересовано и готово платить кодерам за безопасность. В конце концов всё сведётся к тому сколько готов заплатить заказчик..., у заказчика денег хватает только на DLink.
| | |
|
| 2.120, пох. (?), 21:24, 20/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Походу вебморды безопасно делать - ну вообще не умеют.
умеют, только те кто умели - теперь держат крошечный пицца-ресторанчик без лицензии на алкоголь.
> Гребаный стыд, неужели нельзя при таких сокращениях вместо сотен тысяч уволеных нанять пяток
> разумных людей?
нельзя. На то они и разумные. В дерьме по колено работать - не хотят.
> Ну раз то за историю человечества можно подраспереться и вебинтерфейс нормально сделать?
нельзя. Те кто работают за пайку - никогда ничего хорошего и не сделают. Те кто могут себе позволить просто делать хорошо - хорошо делают пиццу. И у них нет "инвестора", "эффективного менеджмента" и "continuous desintegration"
| | |
| |
| 3.121, Аноним (121), 11:16, 21/09/2023 [^] [^^] [^^^] [ответить] | +/– | Много десятилетий размышляю почему такое в ИТ Фактор только 1 Как было раньше ... большой текст свёрнут, показать | | |
|
|
| 1.10, Аноним (11), 22:44, 18/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Уже сделали, называется OpenWRT. Просто в следующий раз при покупке девайса сверяйся со списком и обращай внимание на методы установки.
| | |
| |
| 2.15, Менеджер Антона Алексеевича (?), 22:53, 18/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Не подскажешь, какую версию OpenWRT лучше на Juniper SRX5800 ставить? С другой стороны, в нашей поставке http management service на них и так отключен по умолчанию, авось пронесёт и без OpenWRT.
| | |
| |
| 3.17, МимоПроходил (?), 23:01, 18/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Без http management service конечно лучше, чем с ним.
Но без отлучения от розетки всё равно проламывается (умелыми руками).
Ну и молотком можно все уязвимости починить, если хорошо размахнуться несколько раз...
| | |
| 3.51, Аноним (51), 06:46, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Только мне это немного странным кажется - дорого купить бессмысленное железо и за чужой бесплатный труд сделать, чтобы оно работало?
| | |
| 3.66, domov0y (?), 08:51, 19/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Можете на пальцах объяснить как в juniper такого добились? Желательно для идиотов. (пример кода который приведет к такому эффекту)
| | |
| |
| 4.109, Аноним (-), 14:54, 19/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
> У вас же коммутатор. Для них DentOS: https://www.opennet.ru/opennews/art.shtml?num=59768
> (я не пользовался, если что)
Технически даже многие мыльницы - коммутаторы. Там стоит какой-нибудь чип гигабитного свича. На одном их его портов - проц роутера живет. А ему вланами in и out нарезан с свича, например. Хотя могут и более честно сделать 2 интерфейса у проца, но в любом случае оно к свичу зацеплено и технически являет собой "карманный вариант героя". Единственное почему вон то им не пойдет - для дебиана они все же мелковаты.
| | |
|
|
| 2.30, Аноним (30), 00:57, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
А OpenWRT надёжно? У меня пришли обновления пакетов, не вижу теперь кто подключён к роутеру в luci. Это усложняет выдачу статического IP устройствам. В чем может быть проблема? Не пойму.
| | |
|
| |
| 2.18, МимоПроходил (?), 23:35, 18/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
https://thehackernews.com/2023/07/critical-mikrotik-routeros.html и так примерно 1-2 раза в год.
При владении методикой фазинга (при наличии головы и правильно растущих руках) вы сможете находить дыры примерно каждые 1-2 дня на экземпляр девайса. Но вот разбираться с этим дальше экономически не выгодно - bugbounty там ничебродский, а продавать налево некомильфо.
В целом, чуть менее этично чем d-link, но безопасность тут не более чем миф.
| | |
| |
| 3.23, Аноним (23), 23:49, 18/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Слова типа чуть менее и тут не более выдают в вас эксперта по безопасности уровня опеннет. Посмотрите нашу вакансию?
| | |
| 3.74, Аноним (74), 09:10, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Can people use this to hack my router?
>No, both of these vulnerabilities require admin credentials to exploit.
Продолжайте дальше, очень интересно!
| | |
| |
| 4.82, Аноним (82), 09:43, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Там чуть дальше написано, что на версиях routeros, вышедших чуть более чем меньше года назад по-умолчанию у админа был пустой пароль. Правда там ещё по-умолчанию идёт правило, блокирующее доступ к железке не из LAN. Но общий уровень тревожности поднялся!
| | |
|
| 3.79, Аноним (82), 09:25, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
В базовой настройке файрвола есть правило "defconf: drop all not coming from LAN" которое делает эту уязвимость чуть менее чем практически бесполезной. Ну или я не понял чего-то, но эксперты по информационной безопасности с опеннета меня сейчас поправят тогда.
| | |
| |
| 4.92, Шаман (??), 10:48, 19/09/2023 [^] [^^] [^^^] [ответить]
| +2 +/– | |
А при чем тут "эта уязвимость", её ведь уже в любом случае нашли и заткнули.
Другое дело, что уже был пустой пароль у админа и (по утверждению анонима) устройства падают от простого фазинга.
От d-link это отличается только тем что d-link-e сейчас не повезло, а микротик никто не колупал.
Хотя не-повезло ли d-link-у или наоборот (повезло) - тоже вопрос, ибо чем больше дыр нашли, чем меньше осталось. А микторика все впереди, если верить анониму...
Однако, вся безопасность этих девайсов действительно миф - если работать по принципу "поставил/включил и забыл", то вас когда-нибудь ломанут. А если правильно огораживаться и вовремя шевелиться, то и с d-link можно продержаться.
| | |
| |
| 5.103, 1 (??), 13:44, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> "чем больше дыр нашли, чем меньше осталось"
Очень сильное, в корне неверное (в ИТ) утверждение.
| | |
| |
| 6.105, Шаман (??), 13:52, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Это не утверждение, а следствие закона математики ;)
Другое дело, что кол-во найденных багов/CVE может никак не коррелировать с их общим/исходным количеством.
Поэтому и относительно малое кол-во документированных CVE у микротика не даёт уверенности в безопасности.
А вот падения от фазинга (если верить анониму) - это очень опасный симптом, хотя и тут есть вероятность что аноним наткнулся на какой-то один баг, который не эксплуатируется, но имеет массу вариантов проявления.
Это всё как-бы очевидно.
| | |
| |
| 7.112, 1 (??), 16:29, 19/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Каждое исправление привносит свои ашипки.
Так что корреляцией здесь и не пахнет.
| | |
|
|
|
|
|
|
| |
| 2.61, Атон (?), 08:29, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Почему бы и нет? managment любых железок должен делаться из отдельного изолированного VLAN.
| | |
| |
| 3.68, Tron is Whistling (?), 08:57, 19/09/2023 [^] [^^] [^^^] [ответить]
| +3 +/– | |
А, ну то есть пихать в рот всё, что от юзера пришло - это фича и best practice. Давайте вообще пароли уберём, а чо, изолированный влан же.
Изолированный влан - это хорошо, но он почти никогда не изолируется от машин пользователей. Которые могут на себе таскать всякое.
| | |
| |
| 4.80, Аноним (82), 09:27, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
>Изолированный влан - это хорошо, но он почти никогда не изолируется от машин пользователей. Которые могут на себе таскать всякое.
А почему он тогда называется "изолированный"?
| | |
| |
| 5.81, Tron is Whistling (?), 09:30, 19/09/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Тогда изолируйте его и от машин пользователей. И пусть там в себе варится. Нет доступа - нет проблем.
У меня этих изолированных вланов более одного - группы устройств варятся в собственном соку и доступны только с серверов управления.
Вариант неплохой, но попробуйте начать его реализовывать - и быстро поймёте, что проблем с этим очень много.
| | |
|
|
|
|
| 1.21, хрю (?), 23:44, 18/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Судя по всему список не полный - tp-link тоже попёрся обновляться. Разрыли глобальные [s]бекдоры[/s] прорехи.
| | |
| |
| 2.24, Аноним (23), 23:51, 18/09/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Жаль, что не все поймут данные обновления ;) Действительно не многим дано оценить эти глобальные бэкдоры ;))
| | |
| 2.65, Аноним (62), 08:46, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Пару недель назад AVM (популярнейший производитель в ФРГ) неожиданно выкатил обновлений на всю линейку. Причем даже на те, на которые недавно были плановые обновления. Такого за ними не водилось никогда, обновления выходят редко, постепенно по моделям, с анонсами за полгода. Ходят слухи что дырища в вэбморде всплыла.
| | |
| |
| 3.70, Tron is Whistling (?), 09:03, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> Пару недель назад AVM (популярнейший производитель*-+ в ФРГ) неожиданно выкатил обновлений
Угу. Есть такое. Догадайтесь, кто обнаружили с этими железками полную задницу в масштабе.
Правда деталей нам пока не дали, да и если дадут - раскрыть я скорее всего не смогу.
Эксплуатабельно или нет - тоже не понятно пока, возможно просто rDoS или не связанный с дырой баг.
| | |
| 3.71, Tron is Whistling (?), 09:04, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
Могу сказать только что типовой результат проявления - потеря части конфигурации. Вглухую. Не подмена, просто потеря.
| | |
|
|
| |
| |
| 3.101, YetAnotherOnanym (ok), 13:35, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– |
 > На С? Например, Wt.
Можно и на си. Тем более, что знание си даёт возможность вместо вызова отдельных программ в субшелле (как это принято у пыхеров) слинковать либы, на которых эти программы построены, и дёргать нужные функции в них.
Но если бы начинать с нуля, я бы посмотрел в сторону lua.
| | |
|
| 2.72, Tron is Whistling (?), 09:06, 19/09/2023 [^] [^^] [^^^] [ответить]
| +/– | |
PHP для таких вещей оптимален.
А вот что они под него такого фееричного положили, что оно у них из GET всё суёт в environment - вот это уже интереснее.
| | |
| |
| 3.99, YetAnotherOnanym (ok), 13:25, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Сам-то по себе пых, может быть и оптимален, но если учитывать не только сам язык, но и сложившуюся практику его использования (в которой считается нормой вызывать утилиты в субшелле с передачей аргументов из запроса), то нуевонафиг.
| | |
|
|
| 1.29, Аноним (30), 00:53, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> в маршрутизаторах NETGEAR RAX30 (CVE-2023-40480, CVE-2023-40479) позволяющие добиться выполнения команд с правами root через отправку специально оформленных данных по DHCP и UPnP. Проблемы вызваны отсутствием проверки внешних данных перед их использованием в числе аргументов функции system().
А это аппаратная или программная ошибка?
| | |
| |
| 2.46, Аноним (46), 04:52, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> А это аппаратная или программная ошибка?
Это обезьяна с гранатой в роли кодера. Ошибка уровня менеджмента проекта.
| | |
|
| 1.31, Аноним (31), 00:59, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> связанные с отсутствием должной проверки входных данных перед использованием в функциях форматирования строки в CGI-скриптах web-интерфейса
Аж журнал «Хакер» двадцатилетней давности вспомнил, прослезился
| | |
| |
| 2.47, Аноним (46), 04:54, 19/09/2023 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Аж журнал «Хакер» двадцатилетней давности вспомнил, прослезился
Судя по новости - не только ты вспомнил, и вот вам результат.
| | |
|
| 1.33, Аноним (33), 01:47, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
Так что ждём когда догодаются автоматически проверять cve базу и создавать под компиляцию openwrt . И на злобу дня добавить ии вычислитель tcpoptimizer вкупе с wpa . Ибо идёт пыль умная которая будет менять форму антенны для поиска лучшего коннекта. В спутниках давно авто наведение есть , а на openwrt даже подбора настроек в режиме простоя нет .Премитив 21 века. Когда боты повсюду. Даж болончик с цыганским золотом не купишь чтоб антену напудрить .
| | |
| |
| 2.36, Аноним (33), 02:23, 19/09/2023 [^] [^^] [^^^] [ответить]
| –2 +/– |
Я конечно не специалист но помнится в третьем варкрафте конфиг для Клавы прямо на сайте собирался одной кнопкой. Что мешает добавить это в openwrt для компиляции прошивки ? Да и двух соединений нет как в китайских встройках, они по 8 умеют для ртр фильмов. Если можно даже по 200кг ии выкачал бы, сейчас это не проблема на своих ресах выкрутить. Ибо у меня уже пару устройств и сидеть с каждым прошивку компилить или настройки постоянно искать ,джем...
| | |
|
| 1.34, Аноним (34), 02:01, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Если говорить про домашние роутеры, то не страшно, ССЗБ если оставляют веб-морду доступной из WAN
| | |
| |
| 2.60, Атон (?), 08:27, 19/09/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
И много ты знаешь домашних роутеров с веб мордой доступной _по_умолчанию_ из WAN?
| | |
|
| |
| 2.85, Аноним (31), 10:10, 19/09/2023 [^] [^^] [^^^] [ответить]
| +3 +/– |
Неуловимый Джо.
К тому же не поддерживающий 90% современного железа (да и не с современным всё тоже не очень).
| | |
|
| 1.64, Аноним (59), 08:43, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Все те же компании (и те же государства) в списке бэкдорщиков. Ничего нового.
| | |
| 1.87, InuYasha (??), 10:19, 19/09/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Удивился, не увидев в списке cisco. И увидев производственные Жунипёры.
Но дыры реально страшные.
| | |
|
