Declaração de Vulnerabilidade da Segurança WPA2 (KRACKs)

Descrição

A Mercusys está ciente de vulnerabilidades no protocolo de segurança WPA2 que afetam alguns produtos Mercusys. Um invasor dentro do alcance wireless de uma rede Wi-Fi pode explorar essas vulnerabilidades usando ataques de reinstalação de chave reinstalação de chave (KRACKs). De acordo com o documento de pesquisa sobre KRACKs de Mathy Vanhoef que trouxe essa vulnerabilidade à atenção dos vendedores, o ataque visa o handshake WPA2 e não aproveita os pontos de acesso, mas almeja clientes. Todas as vulnerabilidades podem ser corrigidas através de atualizações de software, uma vez que as questões estão relacionadas a falhas de implementação.

A Mercusys tem trabalhado para resolver este problema e continuará a publicar atualizações de software em nosso site:  https://www.mercusys.com. 

Mais informações sobre KRACK podem ser encontradas através do link: https://www.krackattacks.com.

Condições sob as quais os dispositivos são vulneráveis:

●  Proximidade física: Um ataque só pode acontecer quando um invasor está em proximidade física e dentro do alcance wireless de sua rede.

● Janela de tempo: um ataque só pode acontecer quando um cliente está se conectando ou se reconectando a uma rede Wi-Fi.

Produtos Mercusys não afetados:

Switches:

MS105, MS108

Roteadores operando no modo padrão (Modo Roteador)

MW155R, MW305R, MW325R, AC12

Produtos Mercusys Afetados:

Roteadores (afetados somente quando a função bridging WDS é ativada, cujo padrão é desabilitado):

MW155R, MW305R, MW325R, AC12

Repetidor:

MW300RE

Adaptadores:

MW150US, MW300UM

Como proteger seus dispositivos

Até que uma atualização de software esteja disponível para eliminar a vulnerabilidade do seu produto, recomenda-se as seguintes precauções:

Para roteadores wireless: Certifique-se de que a função de ligação WDS do seu roteador está desativada e repare o sistema operacional de seus smartphones, tablets e computadores.

Para adaptadores wireless e Repetidores: Escolha o sistema operacional dos seus computadores.

Atualização de segurança Microsoft: A Microsoft corrigiu os problemas de segurança mencionados em https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-13080

A Mercusys tem trabalhado em modelos afetados e lançará firmware nas próximas semanas em nosso site oficial.

Identificadores CVE Associados

Os seguintes identificadores de Vulnerabilidades e Exposições Comuns (CVE) foram atribuídos para rastrear quais produtos são afetados por tipos específicos de ataques de reinstalação de chaves:

1. CVE-2017-13077: Reinstalação da chave de criptografia pairwise (PTK-TK) no handshake de 4 vias

2. CVE-2017-13078: Reinstalação da chave de grupo (GTK) no handshake de 4 vias

3. CVE-2017-13079: Reinstalação da chave de grupo de integridade (IGTK) no handshake de 4 vias

4. CVE-2017-13080: Reinstalação da chave de grupo (GTK) na chave de grupo handshake

5. CVE-2017-13081: Reinstalação da chave de grupo de integridade (IGTK) no handshake da chave do grupo.

6. CVE-2017-13082: Aceitando uma Solicitação de Reassociação Rápida de Transição BSS Retransmitida (FT) e reinstalando a chave de criptografia pairwise (PTK-TK) ao processá-la

7. CVE-2017-13084: Reinstalação da tecla STK no handshake PeerKey

8. CVE-2017-13086: reinstalação da Tunneled Direct-Link Setup (TDLS) chave Peerkey (TPK) (TDL