為了解家用路由器的最新韌體中是否存在已知的安全漏洞，德國弗勞恩霍夫通訊研究院（FKIE）對來自七個品牌的 127 款裝置進行了檢查，結果讓人很是擔憂。FKIE 指出，過去一年裡，有 46 款家用路由器沒有迎來哪怕一次安全更新，且許多路由器都受到數百個已知漏洞的影響。更糟糕的是，供應商甚至在未修復已知漏洞的情況下發布韌體更新。這意味著即時消費者部署了最新韌體，他們的路由器仍處於易受攻擊的狀態。
資料圖（來自：ASUS）
FKIE 評估發現，華碩（Asus）和網件（Netgear）相對 D-Link、Linksys、TP-Link 和 Zyxel 做得更好。
研究中有約 90% 的路由器在使用 Linux 作業系統，但製造商並未使用 Linux 維護人員提供的修復程式來更新 OS 。
FKIE 網路分析與防禦部門科學家 Johannes vom Dorp 指出 —— Linux 一直在不斷地開發新功能和修復安全漏洞，但廠商還是懶於提供最新的版本。
在最壞的情況下，某些裝置已超五年沒有更新過，且許多路由器暗藏了易於被破解的密碼或無法被更改的硬編碼登入憑證。
德國 AVM 是唯一未在其路由器韌體中釋出私有金鑰的廠商，但 Netgear R6800 在路由器中包含了 13 把私鑰。
這項研究主要從五個維度對路由器製造商的網路安全方案進行評估，包括上一次韌體釋出已有多久、路由器執行的 OS 版本號有多新、漏洞利用的緩解技術有多好、私有金鑰是否可靠、以及是否存在硬編碼的後門登陸賬號。
FIKE 的結論是，與作業系統製造商相比，路由器製造商在安全更新的實施方面，遠遠落後於桌上型電腦 / 伺服器作業系統的行業標準。
大多數裝置都基於 Linux OS，每年都有好幾次針對核心與開源軟體的安全補丁，但供應商並未如我們所想的那樣頻繁向其裝置分發部署。
其實早在 2018 年的時候，美國消費者協會（ACI）就已經發布過一項類似的研究結果，其中分析了來自 14 個廠商的 186 款 SOHO 型 Wi-Fi 路由器。
結果在 155 個韌體樣本中，有 83% 都電郵潛在易受攻擊的網路安全漏洞，且平均每款路由器具有多達 172 個漏洞。
ACI 因此批評製造商沒有提供相應的自動更新機制來保障路由器處於最新狀態，通常只有在遭遇了臭名昭著的攻擊事件之後才想到亡羊補牢（比如 Mirai IoT 惡意軟體）。
至於漏洞利用的緩解方案，最近發現有 79 款 Netgear 路由器型號未堵上可被遠端利用的缺陷，甚至未通過地址空間佈局隨機化（ASLR）來降低被攻破的風險。
此外超過 1/3 的裝置在使用 2011年 2 月釋出的 2.3.36 或更早的核心版本，Linksys WRT54GL 甚至執行著 2002 年釋出的 2.4 核心版本（帶有 579 個高危 CVE 漏洞）。
自 cnbeta