Praha, 2. března 2020 – Analytici bezpečnostní společnosti ESET objevili dosud neznámou zranitelnost Wi-Fi čipů. Tyto čipy využívá řada klientských zařízení, přístupových bodů a routerů. Zranitelnost označili jako Kr00k (CVE-2019-15126). Tým ESET zranitelnost ohlásil výrobcům čipů, kteří následně vydali aktualizaci s opravou.
„Kr00k je bezpečnostní chyba, kdy zranitelná zařízení používají k šifrování části komunikace šifrovací klíč s nulovou hodnotou. Při úspěšném útoku tak lze tyto pakety zasílané protokolem WPA2 dešifrovat. Zranitelnost je závažná svým rozsahem, protože může ohrozit víc než miliardu zařízení jako jsou chytré telefony, tablety, notebooky nebo IoT prvky,“ vysvětluje Václav Zubr, bezpečnostní expert české pobočky společnosti ESET.
Odhalení Kr00ku navazuje na dřívější výzkum analytiků společnosti ESET, kdy odhalili zranitelnost KRACK (Key Reinstallation Attacks) v zařízeních Amazon Echo (hardware populárního asistenta Alexa). Obě zranitelnosti spolu souvisejí. Během testování zařízení na útoky typu KRACK přišli analytici na chybu Kr00k jako jeden z možných důvodů chybně nastaveného šifrovacího klíče. Na základě výzkumu už většina předních výrobců zařízení vydala opravy.
Zranitelnost se týká nejběžnějších čipů
„Kr00k postihuje všechny zařízení s Wi-Fi čipy Broadcom a Cypress. Jedná se o nejběžnější čipy v dnešních uživatelských zařízeních. Přičemž zranitelné jsou také routery a další přístupové body využívající Wi-Fi,“ říká Zubr.
ESET testoval a potvrdil, že mezi zranitelnými zařízeními jsou Amazon (Echo, Kindle), Apple (iPhone, iPad, MacBook), Google (Nexus), Samsung (Galaxy), Raspberry (Pi 3) a Xiaomi (Redmi), stejně jako některé přístupové body Asus a Huawei.
Tým ESET zranitelnost ohlásil výrobcům čipů, kteří následně vydali aktualizaci s opravou. Mimoto spolupracují také se světovým bezpečnostním konsorciem (Industry Consortium for Advancement of Security on the Internet), aby se o zranitelnosti dozvěděli všechny dotčené strany, včetně výrobců koncových zařízení. Podle informací společnosti ESET je nyní většina zařízení opravena.
„Útok zneužívající zranitelnost Kr00k se pro uživatele projevuje jako odpojení od Wi-Fi. Pokud je útok úspěšný, může se útočník dostat k několika kilobajtům dat, které mohou obsahovat nejcitlivější údaje, jako například hesla,“ vysvětluje Martin Jirkal, vedoucí analytického oddělení v české pobočce firmy ESET.“
Útočník může iniciovat výpadek připojení pro zachycení a dešifrování dat
„Uživatelům doporučujeme, aby bezodkladně aktualizovat všechny zařízení s Wi-Fi připojením na poslední verzi firmware, jmenovitě jde o telefony, tablety, počítače, chytré pomocníky v domácnosti a routery,“ radí analytik Robert Lipovský, který zranitelnost zkoumal. „Krom uživatelských zařízení je potřeba věnovat pozornostem všem přístupovým bodům, které by mohly zranitelností Kr00k trpět. Výrazně tak snížíte pravděpodobnost, že by citlivá data mohl získat někdo nepovolaný.“
Detailní technické informace najdete v reportu Kr00k – CVE-2019-15126 Serious vulnerability deep inside your Wi-Fi encryption a magazínu WeLiveSecurity.com.
O společnosti ESET
Společnost ESET již od roku 1987 vyvíjí bezpečnostní software pro domácí i firemní uživatele. Ten drží rekordní počet ocenění a díky jejím technologiím může více než miliarda uživatelů bezpečně objevovat možnosti internetu. Široké portfolio produktů ESET pokrývá všechny populární platformy včetně mobilních a poskytuje neustálou proaktivní ochranu při minimálních systémových nárocích. ESET se stal první společností, která díky dlouhodobě vysoké úrovni ochrany získala 100 ocenění prestižního magazínu Virus Bulletin VB100. Za těmito úspěchy stojí zejména dlouhodobé investice do vývoje. Jen v České republice nalezneme tři vývojová centra a to v Praze, Jablonci nad Nisou a Brně. Společnost ESET má lokální zastoupení v Praze, celosvětovou centrálu v Bratislavě a disponuje rozsáhlou sítí partnerů ve více než 200 zemích světa.
Kontakt pro média:
Ondřej Šafář
Manažer PR a komunikace
ESET software spol. s r.o.
tel: +420 776 234 218
ondrej.safar@eset.cz
Lucie Mudráková
Specialistka PR a komunikace
ESET software spol. s r.o.
tel: +420 702 206 705
lucie.mudrakova@eset.cz