Gluon mit eingebackenen ssh-keys und OHNE Setup/Configmode ist ohne passwort per ssh zugänglich
Betroffen sind die Gluon-Versionen 2015 bis 2018/2019/master „Heute“.
Es handelt sich aber vermutlich um ein eher seltens Szenario, da die meisten auch bei „eingebackenen ssh-keys“ und selbst bei ‚skipconfigmode=yes‘ den Configmode (das Websetup) trotzdem mit eingebaut haben werden.
Zumindest ist mir öffentlich keine Firrmware begegnet, bei der das augebaut worden wäre.
Trotzdem: Wenn ihr z.B. betroffene „interne“ Firmwareversionen kennen sollte, dann ist dort Handlung angeraten.
ich verstehe die Seite so, dass es nur ein Problem ist, wenn man den Configmodus gar nicht erst mit eingebaut hat. Wenn man ihn nur übersprungen hat, sollte es kein Problem geben, oder habe ich das falsch verstanden?
So habe ich es auch verstanden (und kann es über das make-file des setupmode-moduls nachvollziehen):
Wenn man den Configmode (Gluon-Setupmode) mit installiert hat über die site.mk, dann sind die Router NICHT betroffen, da darüber das notwendige Modul als dependency mitgekommen ist.
Betroffen sind nur Router bei denen man den (Web-Configmode) komplett herausgeworfen hat. (Also dort wo das Web-Setup auch NICHT „per lange Reset drücken“ aufrufbar ist)
Es ist zwar ein exotisches Setup, ich möchte aber nicht beschwören, dass es insbesondere in „Expert-Communities“ mit vielen älteren 4/32MB-Geräten nicht genutzt worden sein könnte für „managed deployments“.