Роутеры китайского поставщика оборудования связи Huawei Technologies содержат множество критических уязвимостей. Об этом на конференции Defcon сообщил глава немецкого разработчика технологий защиты Recurity Labs Феликс Линднер (Felix Lindner).

Huawei является вторым по величине поставщиком оборудования связи в мире после шведской Erisson и одним из самых быстро растущих. Примерно половина инфраструктуры Сети базируется на оборудовании Huawei, сообщил Линднер.

По словам эксперта, проблема в роутерах Huawei в том, что в их прошивке используется "код в стиле 90-х годов". В частности, небезопасные функции в прошивке вызываются около 10 тысяч раз.

Некачественный код позволяет хакеру с легкостью получить доступ к устройству с правами администратора и изменить его настройки с целью полного перехвата проходящего через него трафика.

Феликс Линднер назвал находку "самой удручающей" за всю свою практику эксперта по информационной безопасности. Его коллега Дэн Камински (Dan Kaminsky), известный за обнаружение серьезной уязвимости в системе DNS в 2008 году, раскритиковал разработчиков Huawei: "Похоже, что за 15 лет практики написания безопасного кода, которой мы все занимались, инженеры Huawei не почерпнули для себя ничего полезного".

По данным Линднера, уязвимости присутствуют в сериях роутеров AR и AR18 - первые предназначены для предприятий, вторые - для компаний малого бизнеса и для дома. Специалист не мог проверить более серьезное оборудование Huawei, для операторов связи, включая роутеры линейки Huawei NE, так как не смог получить их в свое распоряжение.

Эксперт также пожаловался на отсутствие у Huawei прозрачности в том, что касается безопасности ее продуктов. Он указал на то, что у компании даже нет почтового адреса, куда можно было бы сообщить о найденной "дыре".

"Властям Китая нет необходимости размещать бэкдоры в вашем оборудовании. Достаточно, чтобы вашу сеть оборудовали люди из Huawei". - говорит Линднер.

"Маршрутизаторы, о которых идет речь, являются представителями предыдущего поколения устройств. Они были выпущены еще совместным предприятием H3C и уже сняты с производства, - прокомментировала представитель российского офиса Huawei Technologies Татьяна Фомичева. - Все сообщения об обнаружении уязвимостей тщательно проверяются группой CERT (Computer Emergency Response Team). По результатам проведения экспертной оценки принимается решение о необходимости извещения клиентов".

"Сетевая безопасность наших клиентов является приоритетом нашей деятельности, - добавила Фомичева. - Huawei строго придерживается стратегии безопасности и принимает все меры для защиты сетевой безопасности наших клиентов, руководствуясь отраслевыми стандартами и передовыми практиками решения проблем безопасности и управления инцидентами".