0-day w Linksysie załatany?

Widzę, że właśnie na stronach Linksysa pojawił się do pobrania nowy firmware, oznaczony Ver.4.30.16 (Build 4), z datą wydania 10.01.2013 (co ciekawe, jeszcze wczoraj go tam nie było). Prawdopodobnie chodzi o załatanie 0-day opisywanego ostatnio. Z release notes możemy wyczytać:

Firmware 4.30.16 (build 4)- Resolves XSS issue.

Pora na aktualizację.

UPDATE: W komentarzu lolo napisał, że takowego firmware’u nie ma. Jak nie ma, jak jest? pomyślałem (nawet zainstalowany), ale patrzę i faktycznie. Zamiast tego pojawił się Ver.4.30.16 (Build 2), który w release notes ma dokładnie taki sam opis. Jak będę przy kompie, gdzie mam pobrany Ver.4.30.16 (Build 4), to sprawdzę, czy są identyczne binarnie. Stay tuned.

Co prawda nadal nie sprawdziłem czy się różnią, ale proponowana wersja zależy od tego, czy pozwolimy się przekierować ze strony dla US, czy nie.

Zdalny 0-day na routery Linksysa.

Pierwotna informacja pojawiła się jakiś czas temu (dokładnie 9 stycznia), wczoraj widziałem wpis pochodny ale widzę, że żaden polski serwis newsowy nie kwapi się z publikacją, więc warto rozpropagować/ostrzec, tym bardziej, że exploit dotyczy potencjalnie 70 mln urządzeń na całym świecie, w tym dość popularnych WRT54GL i okolic. I – jak to 0-day – także najnowszego firmware’u. Co prawda piszą, że działa na 4.30.14, a najnowsza wersja to 4.30.15, ale data wydania wskazuje, że to firmware z 2011 roku.

Dokładne szczegóły nie są znane, działanie exploita można zobaczyć na filmie (poniżej). Na pewno, jak widać na filmie, działa z poziomu sieci lokalnej. Być może działa także zdalnie, ale zapewne warunkiem będzie włączone logowanie do routera po WAN. Szczegóły mają być zamieszczone w ciągu tygodnia na stronie firmy, która błąd znalazła.

Rozwiązania od producenta, czyli Cisco na ten moment nie ma. Dla wielu routerów można wgrać alternatywne oprogramowanie, czyli DD-WRT, OpenWrt lub Tomato, co wg mojej wiedzy rozwiązuje problem. Tak się zastanawiam, czy to nie pochodna błędu w DD-WRT o którym kiedyś pisałem. Wygląda podobnie.

UPDATE: Wygląda, że błąd w routerach Linksys został poprawiony.

Android na tablecie – spotkanie drugie.

Poprzednio opisywałem tablet Go Clever A73 i wspominałem o problemach z baterią. Tablet w ramach reklamacji trafił do Biedronki, gdzie został zakupiony, a tam od ręki został wymieniony na nowy. Fajnie. Mniej fajne jest to, że drugi egzemplarz ma identyczny problem, po opisaniu na Blipie usłyszałem, że komuś to samo zrobił to samo. Stawiam zatem na błąd w samym Androidzie, szczególnie, że do samego czasu działania nie mam większych zastrzeżeń. Nie sprawdzałem dokładnie, ale grając w jakieś gry łącznie na pewno ponad 2h jest.

Tym bardziej, że błędów tego typu jest jakby więcej – ostatnio jakaś gra pytała się, czy włączyć dźwięk. Dałem wyłącz i od tej pory cały system nie ma dźwięku. W ustawieniach jest mute i nie mogę zmienić. Czyżby kolejny bug? Zastanawiam się teraz, jak włączyć ten dźwięk… Pomogło wyłączenie tabletu, a następnie włączenie odtwarzacza muzyki. Co ciekawe, przed wyłączeniem nie reagował na włączanie aplikacji z dźwiękiem.

Zacząłem doceniać chmurę – co prawda nie mam pełnej synchronizacji włączonej, nawet rzekłbym, że wszystko mam wyłączone, ale sklep Play (fatalna nazwa i będzie się z operatorem komórkowym mylić…) pamiętał aplikacje, które miałem zainstalowane i były pod ręką. W sumie miłe, szczególnie jeśli weźmie się pod uwagę mało intuicyjne wyszukiwanie. Gdyby któryś producent zrobił tego typu integrację z jasnym podziałem, które dane mają być w chmurze, a które lokalnie, to pewnie się przekonam. Póki co, coraz bliżej mi do wrzucenia w chmurę danych poddanych szyfrowaniu, najlepiej dwukrotnemu, różnymi aplikacjami i algorytmami. Tyle, że to raczej typowe dane, a nie same ustawienia, i nie z tableta, a z komputera.

Poza tym, tablet Go Clever A73 faktycznie ma słabe WiFi. W niewielkim mieszkaniu odejście od AP na kilka metrów powoduje zauważalne zmiany sygnału, podobnie zmiana położenia urządzenia, jeśli jest w dalszej odległości. Wszystko odkryte dzięki aplikacji Wifi Analyzer (wymyślna nazwa, prawda? ;-)), która pokazuje poziom sygnału w czasie, pomaga wybrać kanał, na którym należy skonfigurować router itp. Bardzo fajny programik, ciekawe czy jest jakiś odpowiednik na Linuksa? Przy okazji okazało się, że sąsiedzi mają za router jakiegoś smoka, prawdopodobnie rozkręconego na full, który w całym moim mieszkaniu ma praktycznie równy sygnał, momentami silniejszy od mojego routera.