Telset.id – Sebuah Wi-Fi extender seharga £3 yang dibeli melalui Temu mengandung akun administrator tersembunyi dengan kendali penuh atas perangkat, dan password yang tertanam di dalam firmware itu sama untuk setiap unit yang pernah dijual. Temuan ini mengungkap bahwa perangkat jaringan murah bisa membawa risiko keamanan yang jauh melampaui harga belinya.
Peneliti keamanan Keiran Smith, yang memegang sertifikasi penetration-testing, memeriksa perangkat tersebut setelah melihatnya dipromosikan lewat iklan bertarget di aplikasi belanja. Ia menemukan fitur akses tersembunyi yang tidak akan pernah terlihat pengguna biasa saat mengoperasikan extender tersebut sehari-hari.
Pemeriksaan dimulai dari sisi perangkat keras, di mana Smith mengidentifikasi prosesor MediaTek MT7620 yang umum dipakai pada produk jaringan berbiaya rendah. Setelah mengekstrak firmware yang tersimpan di dalam perangkat, ia menemukan akun administrator tersembunyi dengan kendali penuh atas seluruh fungsi extender.
Baca Juga:
Password Sama di Setiap Unit
Akun tersebut memakai password tetap yang tertanam di dalam perangkat lunak, sehingga setiap unit yang menjalankan firmware itu membawa kredensial yang identik. Mengubah password administrator normal melalui pengaturan perangkat tidak akan menghapus akses tersembunyi yang terpisah ini.
Smith juga menemukan layanan login jarak jauh yang menerima kredensial tersembunyi tersebut tanpa memerlukan akses fisik ke extender. Artinya, akun rahasia itu tidak hanya bisa dipakai oleh orang yang memegang perangkat secara langsung.
“Ada baiknya bersikap presisi tentang apa yang membuat kasus ini seburuk kelihatannya, karena ‘hardcoded password’ mencakup berbagai macam kesalahan,” kata Smith. Ia menilai kasus ini lebih serius karena password tetap sama di semua perangkat, bukan dihasilkan secara individual.
“Kredensial default adalah sesuatu yang bisa dilihat pemiliknya, diberitahukan kepadanya, dan bisa diubah,” ujarnya. “Yang kita hadapi di sini adalah kebalikannya dalam setiap hal.”
“Ini adalah konstanta saat kompilasi, bukan sesuatu yang diturunkan dari alamat MAC atau nomor seri, jadi identik pada setiap unit yang pernah dijual,” kata Smith.
Kombinasi akses tersembunyi, kredensial yang tidak berubah, dan ketersediaan jarak jauh menciptakan kekhawatiran keamanan bagi pemilik biasa. Bahkan jika pengguna dengan keterampilan teknis menemukan akun tersebut, Smith menemukan bahwa perubahan yang dilakukan bisa hilang setelah extender dinyalakan ulang.
Cacat Lain di Perangkat Murah
Investigasi tersebut juga menemukan kelemahan command injection yang memungkinkan penyerang menjalankan instruksi tidak sah melalui perangkat. Smith menemukan extender itu tidak memiliki perlindungan kuat di sekitar pembaruan perangkat lunak, sehingga membuka peluang pemasangan firmware yang sudah dimodifikasi.
Ia mengakui bahwa temuan ini tidak membuktikan produsen sengaja membuat fitur tidak aman untuk tujuan jahat. Masalah tersebut bisa berasal dari proses pengujian pabrik dan tetap aktif secara tidak sengaja sebelum produk dijual ke konsumen.
Extender Temu ini menunjukkan bagaimana perangkat pintar yang sangat murah dapat menciptakan tantangan keamanan yang melampaui harga pembeliannya. Konsumen mungkin berfokus pada penghematan langsung, sementara mereka hanya punya sedikit visibilitas terhadap keputusan perangkat lunak yang tertanam di dalam peralatan terhubung tersebut.
Temuan ini tidak berarti setiap perangkat jaringan murah mengandung kelemahan serupa, meski menunjukkan mengapa pemeriksaan keamanan dasar tetap penting. Seiring makin banyak rumah menambah produk terhubung, fitur perangkat lunak tersembunyi bisa menjadi perhatian yang lebih besar bagi pengguna dan produsen.
Bagi pengguna yang mempertimbangkan perangkat jaringan atau perangkat kerja berbiaya rendah, isu ini menegaskan pentingnya memeriksa latar belakang perangkat sebelum dipakai untuk aktivitas sehari-hari. Beberapa perangkat lain di pasar, seperti laptop bisnis flagship, memang menempatkan aspek keamanan sebagai bagian dari nilai jualnya. Sebagai pembanding, perangkat seperti ExpertBook Ultra dan ASUS ExpertBook B5 Flip G2 menyasar segmen yang menuntut standar perlindungan lebih tinggi.
Smith menekankan bahwa perbedaan utama terletak pada transparansi. Kredensial default bisa diketahui dan diubah pemilik, sedangkan akun tersembunyi dengan password tetap tidak memberi ruang kendali sama sekali kepada pengguna. Karena password tertanam sebagai konstanta saat kompilasi, tidak ada mekanisme di sisi pengguna yang bisa mematikan akun tersebut.
Layanan login jarak jauh yang menerima kredensial rahasia itu memperluas permukaan serangan, sebab akses tidak lagi terbatas pada perangkat fisik. Ditambah kelemahan command injection dan perlindungan pembaruan firmware yang lemah, kombinasi ini menempatkan extender murah dalam kategori yang menuntut kewaspadaan lebih tinggi.
Meski demikian, Smith tidak menyimpulkan adanya niat jahat dari produsen. Ia membuka kemungkinan bahwa fitur tersebut berasal dari proses pengujian pabrik yang tertinggal aktif hingga produk sampai ke tangan konsumen. Sampai ada penjelasan resmi, temuan ini tetap menjadi catatan penting bahwa harga murah pada perangkat terhubung sering kali disertai kompromi yang tidak terlihat di label harga.
[ META_DESCRIPTION]
Wi-Fi extender £3 dari Temu punya akun admin rahasia dengan password sama di semua unit, plus celah command injection dan firmware tanpa proteksi.
Komentar
Belum ada komentar.