Yeni keşfedilen bilgiler ışığında, Keenetic Limited, 16 Mart 2023'ten önce kayıt yaptıran Keenetic Mobil Uygulama kullanıcılarını, mobil uygulama verilerinin bir kısmının yetkisiz veritabanı erişimi nedeniyle tehlikeye atılmış olabileceği konusunda bilgilendirir.

15 Mart 2023 sabahı, bağımsız bir BT güvenlik araştırmacısı tarafından Keenetic Mobil Uygulama veritabanına yetkisiz erişim olasılığı hakkında bilgilendirildik. Riskin niteliğini ve güvenilirliğini doğruladıktan sonra, sorunu 15 Mart 2023 öğleden sonra derhal çözdük. BT güvenlik araştırmacısı, bize hiçbir veriyi kimseyle paylaşmadığını ve yok ettiğini söyledi. O zamandan beri, Şubat 2025 sonuna kadar veritabanının tehlikeye atıldığına veya herhangi bir kullanıcının etkilendiğine dair hiçbir belirti yoktu.

28 Şubat 2025'te, bazı veritabanı bilgilerinin bağımsız bir medya kuruluşuna ifşa edildiğini öğrendik. Bu nedenle, verilerin uygun şekilde imha edildiğini artık garanti edemeyeceğimizi ve bazı bilgilerin artık kontrolümüz dışında olabileceğini belirledik.

Ancak, potansiyel olarak ifşa edilebilecek verilerin doğası nedeniyle, dolandırıcılık faaliyeti riskini düşük olarak tahmin ediyoruz.

Sınırlı sayıda veritabanı alanına erişilebildi: Keycloak kimlikleri, e-postalar (oturum açma bilgileri) ve Keenetic hesaplarının adları, yerel ayarlar; MD5 ve NT parola karmaları dahil olmak üzere cihaz kullanıcı hesabı yapılandırmaları; özel KeenDNS adları; Wi-Fi SSID'leri ve önceden paylaşılan anahtarlar dahil olmak üzere ağ arabirimi yapılandırmaları; Wi-Fi kanal ayarları, dolaşım kimlikleri ve anahtarları; IP politikası ve trafik şekillendirme ayarları; uzak eş adresleri, VPN istemcilerinin oturum açma bilgileri ve parolaları, atanmış IP adresleri; kayıtlı ana bilgisayarların adları ve MAC adresleri; IPsec siteler arası yapılandırmalar; IPsec Sanal IP sunucu yapılandırmaları; DHCP havuz ayarları; NTP ayarları; IP ve MAC erişim listeleri.Ancak cihaz kullanıcı hesabı şifreleri her durumda sunucularımızda encripted/şifreli olarak tutulmaktadır.

Bildiğimiz kadarıyla, başka hiçbir veriye erişilemedi. Özellikle, RMM verileri, Keenetic hesap verileri, özel anahtarlar ve Wireguard VPN tünellerinin yapılandırmaları ve OpenVPN verilerine erişilemedi.

Keenetic, ödeme kartı bilgileri veya ilgili kimlik bilgileri, işlem verileri, banka bilgileri veya banka şifreleri, ev, iş yeri adresleri hakkında veri toplamaz, depolamaz veya analiz etmez. Bu nedenle, bu tür veriler etkilenmez.

Keenetic mobil uygulamayı 15 Mart 2023 tarihi ve öncesinde kuran  kullanıcılara aşağıdaki şifreleri ve önceden paylaşılan anahtarları değiştirmelerini öneriyoruz:

- Keenetic cihaz kullanıcı hesabı şifreleri (talimatlara bağlantı);

- Wi-Fi şifreleri (talimatlara bağlantı);

- VPN istemcisi şifreleri/önceden paylaşılan anahtarlar: PPTP/L2TP (talimatlara bağlantı), L2TP/IPSec (talimatlara bağlantı), IPSec Site-to-Site (talimatlara bağlantı), SSTP (talimatlara bağlantı).

Yetkisiz erişimin herhangi bir hileli veya kötü niyetli niyet olmadan gerçekleştiğine ve veritabanı bilgilerinin kamuya açık olmadığına inanıyoruz, ancak yine de ilgili veri koruma otoritesine uygun bildirim gönderildi.

Herhangi bir rahatsızlıktan dolayı özür dileriz ve gelecekte benzer bir durumun yaşanmasını önlemek için gerekli tüm önlemlerin alındığını teyit ederiz.

Kullanıcılarımızın ağlarını ve verilerini korumak için korumalı ve kontrol edilebilir bir ortam sağlamak amacıyla güvenliği en yüksek önceliğimiz olarak belirledik. İşletim sistemimizi, uygulamalarımızı ve bulut altyapımızı sürekli olarak iyileştirmek için çalışıyoruz. Düzenli güncellemelerle yazılımımızın güncel kalmasını sağlamak için performansı ve güvenliği sürekli olarak artırıyoruz.

Herhangi bir sorunuz varsa lütfen ilgili teknik destek ekibiyle iletişime geçmekten çekinmeyin.

Keenetic erkenden bilgilendirildi ve CVE-2024-4021 ve CVE-2024-4022 güvenlik açıklarının tamamen farkındadır.

Potansiyel olarak etkilenen cihazlar:
- KN-1010
- KN-1410
- KN-1711
- KN-1810
- KN-1910

Etkilenen aygıt yazılımı sürümleri:
4.1.2.15'e kadar ve dahil olmak üzere tüm KeeneticOS sürümleri.

Bu güvenlik açıklarının düşük riskli yapısı nedeniyle, Keenetic bu sorunları bir sonraki KeeneticOS güncellemesinde ele alacaktır. 2025 ortalarında yayınlanması planlanan KeeneticOS 4.3 sürümüne bir düzeltme eklenecektir. Acil bir güncelleme gerekli değildir.

Bildirilen güvenlik açıklarının açıklaması:
1. CVE-2024-4022, kamuya açık olması amaçlanan bilgilerin bildirilen bir ifşasına atıfta bulunur. Model adını ve ürün yazılımı sürümünü web arayüzünde görüntülemek tasarım gereğidir ve bir güvenlik açığı olarak kabul edilmez. Model adı kullanıcı arayüzünde açıkça gösterilir ve ürün yazılımı sürümü, arayüzü görünür şekilde değiştiren sık güncellemeler nedeniyle kolayca tahmin edilebilir.
2. CVE-2024-4021, özel kullanıcı bilgilerinin uzaktan erişimini, kontrolünü veya sızdırılmasını etkinleştirmez. Bunun yerine, bir saldırganın yönlendiriciye hangi yazılım bileşenlerinin (örneğin, WPA3-E, WireGuard, OpenVPN) yüklendiğini belirlemesine olanak tanır. Önemlisi, bu güvenlik açığı bu bileşenlerin etkin mi yoksa etkinleştirilmiş mi olduğunu göstermiyor. Ayrıca belirli bir hizmetin harici olarak sağlanıp sağlanmadığını da açıklamıyor (örneğin, WireGuard yönlendiricinin kendisine yüklenmek yerine port yönlendirme yoluyla kullanılabilir). Bağımsız bir üçüncü taraf güvenlik araştırmacısına danıştıktan sonra, Keenetic bu güvenlik açığını düşük riskli bilgi ifşası olarak sınıflandırdı. Bu, cihazı veya kullanıcı bilgilerini doğrudan tehlikeye atmaması anlamına geliyor.

Keenetic, FragAttacks (Fragmentation and Aggregation Attacks) olarak bilinen Wi-Fi güvenlik açıklarının farkındadır. Ayrıntılı bilgi https://www.fragattacks.com adresinde bulunabilir.

Aşağıdaki güvenlik açıkları tespit edilmiştir:
- CVE-2020-24586
- CVE-2020-24587
- CVE-2020-24588
- CVE-2020-26139
- CVE-2020-26140
- CVE-2020-26146
- CVE-2020-26147

Potansiyel olarak etkilenen cihazlar:
2017'den itibaren piyasaya sürülen “KN” endeksli tüm Keenetic modelleri.

Etkilenen ürün yazılımı sürümleri:
3.6.5'e kadar ve 3.6.5 dahil tüm KeeneticOS sürümleri.

Çözüm:
KeeneticOS sürüm 3.6.6, bu Wi-Fi güvenlik açıklarını ele alan gerekli düzeltmeleri içerir. Bu güncelleme, etkilenen tüm Keenetic modelleri için geçerlidir. Kullanıcıların cihazlarını çevrimiçi olarak mevcut olan en son KeeneticOS sürümüne yükseltmelerini şiddetle tavsiye ediyoruz. Keenetic, otomatik güncelleme seçeneği etkin olan cihazlara otomatik güncellemeleri sunmaya başlamıştır.