NETGEAR a connaissance du problème de sécurité CVE-2016-6277 (désigné auparavant VU #582384) qui permet à des pages Web non authentifiées d'accéder directement à la saisie sur l'interface de ligne de commande. Une personne malveillante distante peut injecter des commandes arbitraires qui sont ensuite exécutées par le système.
NETGEAR a terminé de tester les dernières versions du micrologiciel (firmware) pour cette faille sur l’ensemble de sa gamme routeurs Wifi actuellement commercialisée. D’après les conclusions de NETGEAR, les modèles ci-dessous sont les seuls concernés.
NETGEAR a testé les produits suivants et confirmé leur vulnérabilité :
Des correctifs du micrologiciel (firmware) sont à présent disponibles pour tous les produits.
- R6250
- R6400
- R6700
- R6900
- R7000
- R7100LG
- R7300DST
- R7900
- R8000
- D6220
- D6400
Le D7000 était auparavant inclus dans une liste de modèles affectés par cette faille de sécurité. Toutefois, NETGEAR a testé et confirmé que le D7000 n’est pas affecté par cette faille d’injection de commande.
La version de production du micrologiciel (firmware) est disponible pour tous les modèles concernés. Même si vous avez déjà téléchargé la version bêta du micrologiciel correctif pour votre modèle, NETGEAR conseille vivement à tous les utilisateurs de télécharger la version de production du micrologiciel (firmware) dès que possible. Si vous ne mettez pas à niveau votre micrologiciel (firmware) avec la version de production, la faille par injection de commande reste possible.
Pour télécharger la version de production du micrologiciel (firmware) qui remédie à la vulnérabilité de l’injection de commande, consultez la page « Mise à jour du micrologiciel » de votre modèle et suivez les instructions :
NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées par la mise à niveau du micrologiciel (firmware) recommandée par cette notification.
Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les produits NETGEAR pour leur connectivité.
Pour signaler une faille de sécurité, consultez le site https://bugcrowd.com/netgear.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Pour tous les autres problèmes, consultez le site http://www.netgear.com/about/security/.
L'adresse e-mail security@netgear.com n'accepte plus les messages et n'est plus surveillée activement.