Huawei w sprawie doniesień o lukach bezpieczeństwa routerów z serii AR

Właśnie otrzymaliśmy szersze stanowisko Huawei odnośnie błędów bezpieczeństwa w routerach serii AR, już po weryfikacji tych informacji przez firmę.

Okazało się, że chodzi o urządzenia, które zostały opracowane i produkowane przez inną firmę, a jedynie oferowane przez Huawei na zasadzie umowy OEM

O podatności na ataki cyberprzestępców sprzętu dostarczanego przez Huawei pialiśmy w tekście: Huawei – bug czy feature?

Po informacji o publicznym przedstawieniu przez Recurity Labs problemów z zabezpieczeniami w routerach H3C AR18 i Huawei AR28 Huawei natychmiast podjął działania w celu zweryfikowania ogłoszonych informacji.

Po dokładnych testach zweryfikowaliśmy, że rzeczywiście w routerach AR28 pochodzących od innego producenta, a oferowanych w przeszłości przez Huawei na zasadzie umowy OEM, występują problemy w zabezpieczeniach interfejsu zarządzającego HTTP.

Dodatkowo stwierdziliśmy, że te same problemy występują w innych urządzeniach oferowanych w przeszłości przez Huawei na zasadzie OEM, tj. w routerach serii AR18/28/46, niektórych routerach serii AR19/29/49 oraz w przełącznikach S20/30/35/39/51/56/78/85. W routerach AR19/29/49 problem występuje jedynie w wersjach oprogramowania starszych niż R2207 (czyli sprzed czerwca 2011). Jednocześnie poinformowaliśmy producenta sprzętu OEM o problemie, tak aby mógł on zweryfikować pozostałe swoje urządzenia sieciowe.

Ponadto przetestowaliśmy również wszystkie aktualnie oferowane, własne produkty sieciowe Huawei takie jak routery AR G3, czy przełączniki Sx7 (S23/33/53/63/93/27/37/57/67/77/97).

Zweryfikowaliśmy, że w urządzeniach sieciowych zaprojektowanych i produkowanych przez Huawei powyższe problemy z zabezpieczeniami nie występują.

Dla naszych klientów i partnerów udostępniliśmy biuletyn bezpieczeństwa ze szczegółowymi informacjami na temat problemu, urządzeń i wersji oprogramowania, których on dotyczy oraz sposobach jego zniwelowania lub obejścia. W celu uzyskania dodatkowych informacji zachęcamy do kontaktu z partnerami lub dystrybutorami Huawei, od których został zakupiony sprzęt.

Jednocześnie informujemy, że Huawei bardzo poważnie traktuje kwestie bezpieczeństwa i od ponad 10 lat posiada zespół reagowania na incydenty związane z bezpieczeństwem sieciowym (Huawei Network Security Incident Response Team - NSIRT).

Dane kontaktowe do zespołu Huawei NSIRT można znaleźć na stronie: Huawei NSIRT

Huawei od roku 2005 jest członkiem organizacji FIRST (Forum of Incident Response and Security Teams), zrzeszającej zespoły bezpieczeństwa wszystkich wiodących producentów sieciowych. Na stronie FIRST można znaleźć dokładne informacje kontaktowe tych zespołów, w tym również dane zespołu Huawei NSIRT (nsirt@huawei.com).

Źródło: Huawei