Cette notification de sécurité corrige le problème de faille CVE suivant : CVE-2017-6862.
NETGEAR a connaissance d'un problème de sécurité qui peut permettre à une personne malveillante de contourner l'authentification et d'exécuter des commandes sur certains modèles de routeurs. Cette faille se produit lorsqu'une personne malveillante exploite un débordement de mémoire tampon pour atteindre l'interface d'administration Web du routeur et exécuter des commandes sans authentification.
Cette vulnérabilité peut être exploitée uniquement lorsqu'une personne malveillante peut accéder au réseau interne, ou lorsque la gestion à distance est activée sur le routeur. La gestion à distance est désactivée par défaut. Les utilisateurs peuvent l'activer via les paramètres avancés.
Cette faille concerne les produits suivants :
- WNR2000v3
- WNR2000v4
- WNR2000v5
- R2000
NETGEAR a publié des mises à jour du micrologiciel (firmware) qui résolvent la faille d'exécution de code distant non authentifiée pour tous les produits concernés.
NETGEAR conseille vivement à tous les utilisateurs concernés de télécharger la mise à jour du micrologiciel (firmware) qui résout cette faille pour votre produit dès que possible.
Pour télécharger le dernier micrologiciel (firmware) pour votre produit NETGEAR :
- Consultez le Centre de téléchargement NETGEAR.
- Sous Recherche pour, cochez la case en regard de Micrologiciel (firmware)/Logiciel.
- Saisissez votre numéro de modèle dans la case de recherche et cliquez sur la loupe.
- Sélectionnez votre modèle dans le menu déroulant.
Si vous ne voyez pas de menu déroulant, assurez-vous d'avoir saisi votre numéro de modèle correctement ou utilisez "recherche produit" pour trouver votre modèle. - Cliquez sur Notes de publication dans la version la plus récente du micrologiciel (firmware), celle du haut de la liste.
Assurez-vous de consulter les notes de publication d'une version de micrologiciel (firmware) et non d'un utilitaire logiciel ou d'une application. Le titre de la page des notes de publication commence toujours par les mots « Version du firmware ».
- Suivez les instructions des notes de publication pour télécharger et installer le nouveau micrologiciel (firmware).
L'exécution de code distant non authentifiée reste possible si vous ne mettez pas à jour votre micrologiciel (firmware). NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées par la mise à jour de votre firmware recommandée par cette notification.
Cette faille a été signalée à NETGEAR par Maxime Peterlin de ON-X.
Nous apprécierions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.
Pour signaler une faille de sécurité, consultez le site https://bugcrowd.com/netgear.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Pour tous les autres problèmes, consultez le site http://www.netgear.com/about/security/.
L'adresse e-mail security@netgear.com n'accepte plus les messages et n'est plus surveillée activement.