D-Link Mengumumkan Tidak Akan Memberikan Patch Keamanan untuk 60.000 Modem Lawas

• Kerentanan yang ditemukan oleh peneliti keamanan

  • Kerentanan keamanan serius ditemukan pada modem D-Link lawas.
  • D-Link merekomendasikan upgrade perangkat keras alih-alih menambal kerentanan tersebut.
  • Terdapat sekitar 60.000 perangkat yang rentan, dan sebagian besar berada di Taiwan.

• Tanggapan D-Link

  • D-Link memutuskan untuk tidak menyediakan patch bagi perangkat yang telah mencapai status EoL (End of Life).
  • Pengguna disarankan menggantinya dengan model baru.
  • Kerentanan serupa juga ditemukan pada perangkat NAS D-Link, namun untuk ini pun tidak disediakan patch.

• Rincian kerentanan yang ditemukan

  • CVE-2024-11068: kerentanan yang memungkinkan perubahan kata sandi melalui akses API, tingkat keparahan 9.8.
  • CVE-2024-11067: kerentanan path traversal, tingkat keparahan 7.5.
  • CVE-2024-11066: kerentanan eksekusi kode jarak jauh, tingkat keparahan 7.2.

• Rekomendasi tambahan

  • Jika router tidak bisa segera diganti, disarankan membatasi akses jarak jauh dan menetapkan kata sandi yang aman.
  • Router adalah salah satu endpoint yang paling sering diserang.

• Informasi lainnya

  • D-Link merekomendasikan pensiun dan penggantian perangkat yang telah mencapai EOL/EOS.
  • Taiwan Computer Emergency Response Team/Coordination Center (TWCERTCC) juga menemukan empat kerentanan injeksi perintah tambahan.

[GN⁺]

Opini Hacker News

• Memperkenalkan artikel bahwa tidak ada patch keamanan untuk modem lama D-Link

  • D-Link punya riwayat merilis perangkat dengan keamanan lemah, jadi lebih baik membeli produk lain

• Arahan tanggung jawab produk Uni Eropa mewajibkan pembaruan untuk menjaga keamanan produk

  • Di Jerman, ada ekspektasi bahwa produk dan aplikasi terkaitnya harus diperbarui rata-rata selama 5 tahun

• Merekomendasikan Ubiquiti (Unifi) dan OpenWRT bagi orang yang mencari produk dengan dukungan jangka panjang

  • Perangkat yang didukung OpenWRT harganya terjangkau dan kemungkinan besar mendapat dukungan jangka panjang

• Bukan hanya janji dukungan produk, kualitas perangkat lunak perusahaan juga penting

• Berbagi pengalaman menganalisis kerentanan router Wi‑Fi lama dan ingin mempublikasikannya di blog

  • Juga berbagi pengalaman harus membeli perangkat baru karena produsen menghentikan pembaruan

• Pernah menggunakan Ubiquiti Edge Router, tetapi dalam jangka panjang tidak memuaskan

  • Membeli box Protectli, mem-flash coreboot, menggunakan pfSense, lalu berpindah ke OPNSense

• Perangkat jaringan konsumen rentan dari sisi keamanan, dan orang yang memprioritaskan keamanan sebaiknya tidak menggunakannya

• Merekomendasikan mem-flash OpenWRT ke perangkat keras lama

  • Lebih baik membeli perangkat keras yang bisa menjalankan pfSense atau OPNSense

• Menjelaskan latar belakang bug yang terkait dengan penghentian produk D-Link

  • Memperkenalkan cara menggunakan OpenWRT

• Kritik terhadap skor CVSS

  • Skor CVE tidak berguna untuk menilai dampak nyata dari kerentanan keamanan

• Disayangkan bahwa UI router MikroTik tidak cocok untuk nonprofesional

  • Meski murah dan didukung dalam jangka panjang, UI-nya sulit bagi pengguna nonprofesional