NETGEAR a connaissance d’une version obsolète de PHP (préprocesseur hypertexte) version 5.2.3, présente dans le firmware de certains points d’accès Wifi ProSAFE. La version obsolète de PHP est vulnérable à plusieurs exploitations de sécurité, parmi lesquelles des débordements de mémoire tampon, des attaques par déni de service, un contournement de l'authentification, une injection SQL et une exécution de code à distance. Plusieurs de ces failles peuvent être exploitées par des clients associés au point d’accès ou par des personnes qui ont accès au réseau local (LAN) auquel le point d’accès est connecté, localement ou à distance.
Ces failles concernent les produits suivants :
- Firmware WNDAP660 versions 3.5.23.0 et antérieures
- Firmware WNDAP360 versions 3.5.23.0 et antérieures
- Firmware WNDAP350 versions 3.5.23.0 et antérieures
- Firmware WNAP320 versions 3.5.23.0 et antérieures
- Firmware WNAP210v2 versions 3.5.23.0 et antérieures
- Firmware WNDAP620 versions 2.0.15 et antérieures
- Firmware WND930 versions 2.0.16 et antérieures
- Firmware WAC120 versions 2.0.9 et antérieures
Les correctifs de firmware comprenant PHP version 5.6.27 sont actuellement disponibles pour tous les produits concernés. NETGEAR conseille vivement à tous les utilisateurs concernés de télécharger le correctif du firmware pour leur produit dès que possible.
Pour télécharger la mise à jour du firmware qui résout la faille de la version obsolète de PHP :
- Consultez le support NETGEAR.
- Saisissez le début de votre numéro de modèle dans la case de recherche, puis sélectionnez votre modèle dans le menu déroulant dès qu'il apparaît.
Si vous ne voyez pas de menu déroulant, assurez-vous d'avoir saisi votre numéro de modèle correctement ou sélectionnez une catégorie de produits pour trouver votre modèle. - Cliquez sur Téléchargements.
- Sous Versions actuelles, sélectionnez le téléchargement dont le titre commence par Version du firmware.
- Lisez les notes de publication :
- Si vous voyez un lien Notes de publication, cliquez dessus.
- Si vous ne voyez pas de lien Notes de publication, cliquez sur Téléchargements pour ouvrir la page Notes de publication.
- Téléchargez et installez le nouveau firmware conformément aux instructions des notes de publication.
L’exploitation de plusieurs failles PHP reste possible si vous ne mettez pas à jour votre firmware. NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées par la mise à jour de votre firmware recommandée par cette notification.
Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.
Pour signaler une faille de sécurité, consultez le site https://bugcrowd.com/netgear.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Pour tous les autres problèmes, consultez le site http://www.netgear.com/about/security/.