Dieser Sicherheitshinweis bezieht sich auf die folgenden CVE-Sicherheitslücken:
- CVE-2017-5715
- CVE-2017-5753
- CVE-2017-5754
NETGEAR sind zwei verschiedene Sicherheitslücken bei der spekulativen Codeausführung namens Spectre und Meltdown („Sicherheitslücken“) in Prozessoren mehrerer Anbieter bekannt, die in NETGEAR ReadyNAS, ReadyDATA und Connected-Home-Produkten eingesetzt werden. Diese Sicherheitslücken können nur von Personen ausgenutzt werden, die schädlichen oder beeinträchtigten Code hochladen und auf dem Gerät ausführen können. Dies erfordert die Aktivierung nicht standardmäßiger Berechtigungen auf ReadyNAS und ReadyDATA Produkten.
Zu Connected-Home-Produkten gehören Router, Gateways, mobile Hotspots und Repeater. Für diese Produkte sind NETGEAR keine Möglichkeit zur Ausnutzung der Sicherheitslücken bekannt. Aktuell werten wir mit unseren Chipsatz-Lieferanten die Auswirkungen der Schwachstellen aus. Eigentümer von Connected-Home-Produkten müssen derzeit keine Maßnahmen ergreifen.
NETGEAR geht nicht davon aus, dass diese Sicherheitslücken eine ausreichende Gefahr darstellen und es erforderlich machen, dass Sie NETGEAR Produkte aus Ihrem Netzwerk herunterfahren oder entfernen. Wir empfehlen jedoch, dass Besitzer von ReadyNAS und ReadyDATA die Problemumgehungen verwenden, die im Abschnitt „Problemumgehungen“ dieses Hinweises aufgeführt sind.
NETGEAR plant die Veröffentlichung getesteter Firmware-Updates, die diese Sicherheitslücken für alle Produkte beheben oder reduzieren, die sich innerhalb des Zeitraums der Sicherheitsunterstützung befinden. NETGEAR testet und implementiert derzeit ein ReadyNAS Firmware-Update.
NETGEAR hat bestätigt, dass die folgenden Produkte anfällig für einen Angriff sind:
ReadyNAS
- RN12G
- RN12P
- RN12S
- RN12T
- RN202
- RN204
- RN212
- RN214
- RN3130
- RN3138
- RN3220
- RN422
- RN4220
- RN424
- RN426
- RN428
- RN524X
- RN526X
- RN528X
- RN626X
- RN628X
- RNDP6000-200
- RNRP4000
- RR2304
- RR2312
- RR3312
- RR4312X
- RR4360X
ReadyDATA
- RD5200
- RDD516
Die folgenden betroffenen Produkte sind außerhalb des Zeitraumes für Sicherheitsunterstützung:
- RD5200
- RDD516
- RN12G
- RN12P
- RN12S
- RN12T
- RNDP6000
- RNRP4000
NETGEAR aktualisiert diesen Hinweis, sobald weitere Informationen verfügbar sind.
Problemumgehungen
NETGEAR empfiehlt, dass Sie die folgenden Problemumgehungen für Ihre ReadyNAS oder ReadyDATA Speichersysteme verwenden, bis Firmware-Aktualisierungen für Ihr Produkt verfügbar sind:
- Deaktivieren Sie das Secure-Sockets-Shell- (SSH)-Protokoll auf Ihren ReadyNAS oder ReadyDATA Produkten.
SSH ist standardmäßig deaktiviert. Weitere Informationen finden Sie unter ReadyNAS OS 6: Support beim SSH-Zugriff und Konfigurationsanleitung oder im Softwarehandbuch Ihres Produktes. - Wir empfehlen ausschließlich die Installation und Ausführung von Anwendungen mit vertrauenswürdiger Herkunft auf Ihren ReadyNAS oder ReadyDATA Produkten.
Haftungsausschluss
Wenn Sie die empfohlenen Schritte nicht wie beschrieben durchführen, bestehen diese Sicherheitslücken weiterhin. NETGEAR trägt keine Verantwortung für jegliche Folgen, die durch das Ausführen der Empfehlungen in dieser Mitteilung hätten vermieden werden können.
Vektor des Common Vulnerability Scoring System
CVSS-v3-Wertung: Medium
CVSS v3 Base Score: 5,6
Vektor: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
Kontakt
Vielen Dank, dass Sie uns auf diese Sicherheitsbedenken aufmerksam gemacht haben. NETGEAR nimmt die Sicherheit seiner Produkte sehr ernst und überwacht ständig bekannte und unbekannte Bedrohungen. Für den Produktsupport bei NETGEAR ist das proaktive Handeln gegenüber aufkommenden Sicherheitsfragen von grundlegender Bedeutung.
Es ist die Mission von NETGEAR, der innovative Marktführer zu sein, wenn es darum geht, die Welt mit dem Internet zu verbinden. Um dieses Ziel zu erreichen, ist es uns wichtig, das Vertrauen der Nutzer von NETGEAR Produkten zu gewinnen und zu pflegen.
Um eine Sicherheitslücke zu melden, besuchen Sie http://www.netgear.com/about/security/.
Wenn Sie NETGEAR Kunde sind und sicherheitsrelevante Bedenken haben, können Sie sich an den NETGEAR Kundensupport unter techsupport.security@netgear.com wenden.
Änderungsübersicht
07.01.2018: Hinweis veröffentlicht
17.01.2018:
- Informationen hinzugefügt zu den Auswirkungen der Sicherheitslücken auf Connected-Home-Produkte
- RNRP4000 zur Liste der betroffenen Produkte hinzugefügt
- Liste der betroffenen Produkte hinzugefügt, die sich außerhalb des Support-Zeitraums befinden