Geringe Wahrscheinlichkeit Linksys Von Testaankoop gemeldetes Sicherheitsproblem

Jeder Bericht über ein potenzielles Sicherheitsproblem wird ernst genommen und bearbeitet von Linksys. Als Unternehmen, das Pionierarbeit für Heimrouter geleistet hat und seit fast 4 Jahrzehnten weltweit tätig ist, sind unsere Sicherheitsverfahren und -reaktionen immer sachlich und transparent. Diese Mitteilung ist eine öffentliche Antwort auf einen Bericht über ein Sicherheitsproblem, das zuerst von Testaankoop gemeldet wurde, obwohl es nicht von ihnen zu stammen scheint und sie auch nicht bestätigt oder Beweise dafür vorgelegt haben, dass sie das Problem reproduziert haben. Bis heute hat niemand außer Rapid7, der Linksys Der mit dem Testen unserer Produkte beauftragte Hersteller konnte das Problem nie reproduzieren und zwar auch nur unter besonderen Laborbedingungen, mit Spezialwerkzeugen und mit uneingeschränkten Berechtigungen für LAN und WAN.

Bevor Sie die folgende Antwort lesen, ist es wichtig zu verstehen, dass Linksys' Architektur und Betrieb sind einzigartig in der Branche. Wir sammeln oder speichern KEINE Geräte- oder Benutzerdaten, die von unseren Heimroutern oder dem Linksys Mobile App. Bei Verwendung der Linksys Mobile App, ausgewählte Datenelemente werden während der Installation und Konfiguration verwendet, werden jedoch nie gespeichert oder beobachtet von Linksys. Bei Verwendung der browserbasierten lokalen Benutzeroberfläche werden keine der für die Installation, Konfiguration oder den laufenden Betrieb verwendeten Daten jemals angezeigt, geschweige denn gespeichert von Linksys; alles bleibt lokal auf Ihrem Gerät.

Zeitleiste mit geringer Wahrscheinlichkeit Linksys Sicherheitsproblem gemeldet von Testkauf

• 19. September 2023: Empfangene Rapid7 Bericht ausgeführt im Auftrag von Linksys, in Bezug auf Sicherheitskonfigurationsbedenken mit geringer Wahrscheinlichkeit (Priorität 3/Schweregrad 3) bei zwei (2) Linksys Einzelhandels-SKUs
• November 28th, 2023: Linksys Marketing hat eine E-Mail weitergeleitet von Which? Meldung dieser Sicherheitslücke (mit exakt demselben Wortlaut wie Rapid7) an Linksys Entwicklungsprojekt
• November 28th, 2023: Linksys Die Entwicklung reagierte auf Which? am selben Tag und stellte ein Sicherheitsformular zur Verfügung, das zurückzusenden ist an Linksys Entwicklungsprojekt
• November 30th, 2023: Which? beantwortet Linksys Anfrage vom 28. November, lieferte aber keine weiteren Details und konnte/hat nicht bestätigt, dass er das Problem reproduzieren konnte
• 4. Dezember 2023: Which? hat einen öffentlichen Bericht über Bug Crowd eingereicht und das Problem auf „mittlere Wahrscheinlichkeit“ hochgestuft, aber keine zusätzlichen/umsetzbaren Details bereitgestellt
• 5. Dezember 2023: Käfermenge  bestätigten, dass sie das Problem nicht reproduzieren konnten und baten Which um weitere Informationen. Which antwortete nicht auf die Anfrage von BugCrowd
• 5. Dezember 2023: Ein Marktforscher aus Belgien schrieb Linksys Marketing, mit Verweis auf den BugCrowd-Bericht, den Which eingereicht hat, lieferte jedoch keine weiteren Details und bestätigte nicht, dass sie

Gefährdungsbeurteilung eines Sicherheitsproblems mit geringer Wahrscheinlichkeit, gemeldet von Testaankoop

• Begrenzte Exposition: Zwei (2) betroffene SKUs (Linksys Velop Pro 6E und Linksys Velop Pro 7) - um das Sicherheitskonfigurationsproblem auszunutzen, das auf die WAN/ISP-Seite beschränkt ist, würde der „böse Akteur“ hochspezialisierte Tools sowie physischen Echtzeitzugriff auf den Home Router und volle Sichtbarkeit und Berechtigung zum Durchqueren des ISP-Netzwerks benötigen.
• Realweltrisiko mit geringer Wahrscheinlichkeit: Für eine mögliche Ausbeutung wären mehrere und höchst unwahrscheinliche Bedingungen erforderlich:
• Physischer und kabelgebundener Zugriff auf den Heimrouter (erfordert, dass der Hacker mit Spezialwerkzeugen im Haus ist)
• Zugriff auf die Infrastruktur und Verschlüsselung des Internetdienstanbieters (erfordert die Erlaubnis des Internetdienstanbieters oder das Hacken des Netzwerks)
• Verwendung der Linksys Mobile App (Mehrheit von Linksys Benutzer verwenden die lokale Benutzeroberfläche/den lokalen Browser, um die betroffenen SKUs zu konfigurieren, nicht die mobile App)

Linksys Maßnahmen zur Minderung des von Testaankoop gemeldeten Sicherheitsproblems mit geringer Wahrscheinlichkeit

• Entdeckung: Linksys Auftragnehmer Rapid7 entdeckte und meldete das Problem, das als Priorität 3/Schweregrad 3 eingestuft wurde
• P3/S3-Probleme werden in der Regel 6 bis 9 Monate nach ihrer Meldung behoben
• Linksys Serverseitige Änderung (Firmware-unabhängig) Linksys hat bereits mit der kontrollierten Einführung einer serverseitigen Konfigurationsänderung begonnen, die das gemeldete Sicherheitskonfigurationsproblem verhindert. Für die Einführung werden keine Ausfallzeiten erwartet.
• Linksys Clientseitige Änderung: Die clientseitige Firmware für die beiden (2) betroffenen Retail-SKUs bietet zusätzlichen Schutz für die oben genannte serverseitige Änderung und wird bis zum 26. Juli verfügbar sein. Kunden können noch heute ein Support-Ticket eröffnen, um einen Engineering-Build anzufordern.
• Lokale Benutzeroberfläche/Browser-basierte Router-Konfiguration: Linksys fördert weiterhin die lokale UI/Browser-basierte Installation und Konfiguration anstelle der Verwendung der Linksys App
• Hinweis die geringe Wahrscheinlichkeit Linksys Das Sicherheitsproblem trat nie auf, wenn die lokale Benutzeroberfläche bzw. der lokale Browser zur Installation und Konfiguration der betroffenen SKUs verwendet wurde, statt der Linksys App

Betroffene SKUS des von Testaankoop gemeldeten Sicherheitsproblems mit geringer Wahrscheinlichkeit

• Linksys liefert derzeit weltweit über 150 SKUs aus, zwei (2) Einzelhandels-SKUs sind betroffen, gelten jedoch derzeit als sicher im Betrieb, da die serverseitige Änderung bereits implementiert wurde und doppelt sicher sein wird, sobald die clientseitige Firmware bis zum 30. Juli aktualisiert wird
• Die betroffenen SKUs sind alle Retail-SKUs - MX62xx, MBE7xxx
• Beachten Sie, dass keine Internet Service Provider (ISP)-SKUs oder die über 100 anderen Einzelhandels-SKUs betroffen sind