El Bazar

Monday March 08, 2004

Hace unos días me llegó un mensaje de ya.com en el que me anunciaban la posibilidad, como cliente anterior al 1 de Mayo de 2003, de renovar mi router ADSL por otro inalámbrico 3Com Wi-Fi 11g, a un precio bastante interesante: 59.90 + IVA. Como llevo un tiempo pensando en comprarme otro ordenador, quizás portatil, ya tenía también en mente pasarme pronto a un router Wi-Fi para tener acceso a Internet desde cualquier parte de la casa. Vamos, que la oferta me venía en el momento justo, la mitad de la venta ya la tenían hecha.

Se trata del mismo router que ya.com regala con las altas nuevas, para conocer un poco mejor el aparato le pregunte a mi amigo Google, los resultados han sido muy poco favorables. En primer lugar no está fabricado por 3Com, parece ser que el fabricante realmente es Belkin mientras que 3Com únicamente se dedica a venderlo bajo su marca en exclusiva a ya.com, ese modelo no se puede adquirir de ninguna otra forma, vamos que de 3Com lo único que tiene es el nombre. Por ejemplo eso significa que 3Com no da soporte sobre el router, sino que nos dirigirá ante cualquier consulta y/o problema a ya.com.

Lo realmente grave es la más que completa lista de vulnerabilidades que también incluye gratis. Por ejemplo si se permite el acceso remoto (por defecto está activado) entonces se puede controlar el router sin la contraseña (encima al ser inalambrico esto lo puede hacer nuestro vecino), si se desactiva el firewall también se puede acceder a la administración del router remótamente sin contraseña, la administración remota SNMP está activada por defecto y además no se puede deshabilitar, algunas páginas de administración están ocultas y son accesibles escribiendo su dirección directamente en el navegador, está basado en un servidor Apache 0.6.5 obsoleto y con vulnerabilidades bien conocidas (como la ejecución remota de código), ¿no esta mal no? Es verdad que algunas de estas vulnerabilidades que afectan a la versión 1.02 y anteriores del firmware, están corregidas en la versión 1.05, pero no todas.

La mayoría (si no la totalidad) de los routers de este modelo han sido entregados por ya.com con la versión 1.02 o anterior del firmware, con la configuración totalmente abierta: en modo DHCP y sin encriptación. En la práctica esto significa que cualquiera con una tarjeta inalámbrica puede utilizar este router de su vecino tranquilamente. Evidentemente los usuarios no saben lo que tienen instalado ni los problemas que le puede dar. Algunos por ejemplo habrán notado que los programas P2P no funcionan porque el router se cree estar siendo atacado y no permite entonces las conexiones.

Total que por 59.90 + IVA me puedo quedar con un router inalámbrico que sencillamente es una porquería, eso sí, le puedo actualizar el nuevo firmware y ponerme a configurarlo como dios manda haciendo pruebas y más pruebas unos dias. Paso, prefiero pagar algo más pero no perder tanto el tiempo. Para los que ya lo tengan les recomiendo que se pasen por esta página de pruebas específica para este router que les dirá si son vulnerables a algunos de estos ataques. Seguramente van a necesitar también actualizarse a la última versión disponible del firmware. Hay más información en ADSLAyuda y en los foros de ya.com en BandaAncha.

Me gustaría acabar con una curiosidad de un mensaje que leí en uno de los foros: "Lo único que me he fijado [...] es que al poner el microondas en casa se me queda tostada toda la red y vuelve a la vida en unos minutos, en la información de la tarjeta de red dice que no hay señal y deja de funcionar todo".

(2004-03-08 18:28:52.0) Permalink Comentarios [2]