Cette notification de sécurité corrige le problème des failles CVE suivantes :
- CVE-2017-5715
- CVE-2017-5753
- CVE-2017-5754
NETGEAR a connaissance de deux failles de sécurité relatives à l'exécution de code spéculative différentes appelées Spectre et Meltdown (« failles »), dans plusieurs processeurs de fournisseurs utilisés dans des ReadyNAS, ReadyDATA NETGEAR et des produits connectés pour la maison. Ces failles peuvent être exploitées uniquement par une personne qui charge et exécute un code malveillant ou compromis sur le produit, qui nécessite que des privilèges qui ne sont pas présents par défaut soient activés sur des produits ReadyNAS et ReadyDATA.
Les produits connectés pour la maison comprennent des routeurs, passerelles, hotspots mobiles et répéteurs. NETGEAR n'a pas connaissance d'une possibilité d'exploiter les failles pour les produits connectés pour la maison. Nous sommes toujours en train d'évaluer l'impact des failles avec l'aide de nos fournisseurs de puces. Aucune action n'est requise de la part des propriétaires de nos produits connectés pour la maison.
NETGEAR ne pense pas que ces failles représentent une menace suffisante nécessitant que vous mettez hors tension ou supprimiez vos produits NETGEAR de votre réseau, mais nous recommandons aux propriétaires de ReadyNAS et ReadyDATA de suivre les procédures de contournement répertoriées dans la section Contournements de cette notification.
NETGEAR prévoit de publier des mises à jour de firmware testées en profondeur qui résolvent ou maîtrisent ces failles pour tous les produits compris dans la période de prise en charge de la sécurité. NETGEAR teste et met en œuvre actuellement une mise à jour du firmware du ReadyNAS.
NETGEAR a confirmé la vulnérabilité des produits suivants à une attaque :
ReadyNAS
- RN12G
- RN12P
- RN12S
- RN12T
- RN202
- RN204
- RN212
- RN214
- RN3130
- RN3138
- RN3220
- RN422
- RN4220
- RN424
- RN426
- RN428
- RN524X
- RN526X
- RN528X
- RN626X
- RN628X
- RNDP6000-200
- RNRP4000
- RR2304
- RR2312
- RR3312
- RR4312X
- RR4360X
ReadyDATA
- RD5200
- RDD516
Les produits suivants concernés ne sont pas compris dans la période de prise en charge de la sécurité :
- RD5200
- RDD516
- RN12G
- RN12P
- RN12S
- RN12T
- RNDP6000
- RNRP4000
NETGEAR mettra à jour cet avis dès que des informations supplémentaires seront disponibles.
Contournements
NETGEAR vous recommande de suivre les contournements suivants pour votre système de stockage ReadyNAS ou ReadyDATA jusqu'à ce que des mises à jour du firmware soient disponibles pour votre produit :
- Désactivez le protocole SSH (Secure Socket Shell) sur vos produits ReadyNAS ou ReadyDATA.
Le SSH est désactivé par défaut. Pour plus d'informations, reportez-vous à ReadyNAS OS 6 : prise en charge de l'accès SSH et guides de configuration ou au manuel du logiciel de votre produit. - N'installez et n'exécutez que des applications provenant de sources approuvées ou réputées sur vos produits ReadyNAS ou ReadyDATA.
Mentions légales
Les failles restent possibles si vous n'effectuez pas toutes les actions recommandées. NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées en suivant les recommandations de cette notification.
Vecteur du système de notation des vulnérabilités courantes
Note CVSS v3 : moyenne
Score CVSS v3 : 5.6
Vecteur : CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
Contact
Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.
Pour signaler une faille de sécurité, consultez le site http://www.netgear.com/about/security/.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Historique de révision
07/01/2018 : notification publiée
17/01/2018 :
- Ajout d'informations sur l'impact des failles sur les produits connectés pour la maison
- Ajout de RNRP4000 à la liste des produits concernés
- Ajout d'une liste de produits concernés qui ne sont pas compris dans la période de prise en charge de la sécurité