CloudKey gen1 veilig?

PatrickvK

UniFier
24 apr 2019
2
2
3
Ik maak al enkele jaren gebruik van en fijn Unifi systeem met nog een CloudKey Gen1. Ooit al overwogen te upgraden naar Gen2, maar upgrade is er nooit van gekomen, als het werkt, werkt het, toch? Maar....
Zojuist kwam mij een hack-handleiding onder ogen welke mij toch wel zorgen baart..sinds 21 oktober 2021 hier op internet:. www.blackhillsinfosec.com/hacking-unifi-controller-passwords-for-fun-and-wifi/
Moet ik me zorgen maken?
 
  • Leuk
Waarderingen: m4v3r1ck en Reddwarf
Ik maak al enkele jaren gebruik van en fijn Unifi systeem met nog een CloudKey Gen1. Ooit al overwogen te upgraden naar Gen2, maar upgrade is er nooit van gekomen, als het werkt, werkt het, toch? Maar....
Zojuist kwam mij een hack-handleiding onder ogen welke mij toch wel zorgen baart..sinds 21 oktober 2021 hier op internet:. www.blackhillsinfosec.com/hacking-unifi-controller-passwords-for-fun-and-wifi/
Moet ik me zorgen maken?
Leuk artikel maar hiervoor moet je al toegang hebben tot het device dat de controller draait en kun je via de loopback port de mongodb uitlezen.

Ik zou toch al nooit een CloudKey/controller direct aan het internet hangen maar via VPN of enkel lokaal beschikbaar maken.
 
  • Leuk
Waarderingen: m4v3r1ck
Dit is geen hack. Deze methode is zelfs destijds door Ubiquiti zelf in een help artikel aangegeven als de manier om weer toegang tot een controller te krijgen als je het admin account password kwijt bent. Dus deze meneer heeft helemaal niks "ontdekt" maar probeert interessant te doen.

Zoals @Reddwarf aangeeft werkt deze methode alleen als je al ingelogd bent op de CloudKey, want de MongoDB is zo geconfigureerd dat hij alleen naar localhost luistert. Als een hacker al zo ver is dat hij via SSH kan inloggen op je CloudKey dan heb je wel wat anders om je zorgen over te maken .......:)
 
  • Leuk
Waarderingen: PcRene en m4v3r1ck
Helemaal duidelijk. Staat hier alleen intern ter beschikking, zal ik zeker zo laten. Tussen Gen1 en Gen2 geen verschil inzake veiligheid van databases zover ik begrijp uit andere correspondentie, dus als ie nog ff blijft werken geen reden om naar gen2 over te stappen. Kan ik weer rustig slapen. Case closed.
 
Activiteit
Er wordt op dit moment (nog) geen nieuwe reactie gepost.
  Topic Status: Hallo . Er is al meer dan 14 dagen geen nieuwe reactie meer geplaatst.
  De inhoud is mogelijk niet langer relevant.
  Misschien is het beter om in plaats daarvan een nieuw onderwerp te starten..