压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

獨(dú)立安全研究員Varang Amin和彈力的云威脅實(shí)驗(yàn)室首席架構(gòu)師Aditya Sood在D-Link? DGS-1210 系列千兆智能交換機(jī)發(fā)現(xiàn)了一個(gè)漏洞。

在ToorCon安全會(huì)議安全專家展示了這個(gè)漏洞，他們?yōu)榱薉-Link即使解決這個(gè)漏洞，并未透露這個(gè)漏洞的詳細(xì)內(nèi)容。

這個(gè)家庭網(wǎng)絡(luò)設(shè)備允許存儲(chǔ)的備份文件，包括日志、固件和配置文件，在設(shè)備的閃存或web服務(wù)器。 然而該系統(tǒng)缺乏適當(dāng)?shù)氖跈?quán)和身份驗(yàn)證機(jī)制，允許攻擊者訪問(wèn)存儲(chǔ)備份文件。

專家們發(fā)現(xiàn)可以通過(guò)簡(jiǎn)單的閃存的文件存儲(chǔ)在知道D-Link交換機(jī)遠(yuǎn)程訪問(wèn)的IP地址。在會(huì)議上展示了攻擊者通過(guò)有針對(duì)性網(wǎng)絡(luò)攻擊可以獲取珍貴的配置文件信息，攻擊者也可以通過(guò)控制內(nèi)部信息交換損害D-Link交換機(jī)。

“攻擊者可以通過(guò)訪問(wèn)配置文件來(lái)獲取交換機(jī)所有的詳細(xì)信息，包括配置、用戶名等。 例如，可以在另一個(gè)交換機(jī)（從市場(chǎng)購(gòu)買(mǎi)）上傳配置來(lái)獲得詳細(xì)信息。 日志文件可以透露客戶訪問(wèn)交換機(jī)和其他基礎(chǔ)設(shè)施的信息，“Sood解釋到， “攻擊者損害網(wǎng)絡(luò)交換機(jī)可以控制流量”。

兩位專家也強(qiáng)，web服務(wù)器的根目錄很容易被黑客攻擊。

“選中備份時(shí)，日志文件和配置文件是存儲(chǔ)在閃存驅(qū)動(dòng)器。雖然日志默認(rèn)啟用很多版本，但大多數(shù)管理員很容易的備份配置下載這些文件是，”Sood解釋道。

雖然安全漏洞報(bào)告10月初提交的，但D-Link目前并未修復(fù)這個(gè)漏洞。