ID ZDI ASSOCIÉ : ZDI-CAN-10754
NETGEAR a publié des correctifs pour une faille de sécurité concernant un contournement de l'authentification pour les modèles de produits suivants :
- R6020, exécution des versions du micrologiciel antérieures à 1.0.0.44
- R6080, exécution des versions du micrologiciel antérieures à 1.0.0.44
- R6120, exécution des versions du micrologiciel antérieures à 1.0.0.70
- R6220, exécution des versions du micrologiciel antérieures à la version 1.1.0.100
- R6230, exécutant les versions du micrologiciel antérieures à la version 1.1.0.100
- R6260, exécution des versions du micrologiciel antérieures à 1.1.0.76
- R6330, exécution des versions du micrologiciel antérieures à 1.1.0.76
- R6350, exécution de versions de micrologiciel antérieures à 1.1.0.76
- R6850, exécution de versions de micrologiciel antérieures à 1.1.0.76
NETGEAR conseille vivement de télécharger le dernier firmware dès que possible.
Pour télécharger le dernier micrologiciel (firmware) pour votre produit NETGEAR :
- Consultez le support NETGEAR.
- Saisissez le début de votre numéro de modèle dans la case de recherche, puis sélectionnez votre modèle dans le menu déroulant dès qu'il apparaît.
Si vous ne voyez pas de menu déroulant, assurez-vous d'avoir saisi votre numéro de modèle correctement ou sélectionnez une catégorie de produits pour trouver votre modèle. - Cliquez sur Téléchargements.
- Sous Versions actuelles, sélectionnez le téléchargement dont le titre commence par Version du firmware.
- Cliquez sur Télécharger.
- Suivez les instructions du manuel de l'utilisateur de votre produit, les notes de version du firmware ou la page de support du produit pour installer le nouveau firmware.
Les modèles de produits suivants sont également affectés par la vulnérabilité de contournement de l'authentification, mais sont en dehors de la période de support de sécurité :
- JNR3210
- WNR2020
Si votre produit est hors de la période de support de sécurité, nous vous recommandons de suivre la procédure de contournement indiquée dans cet Avis. Nous vous recommandons également de suivre les directives de la United States Cybersecurity and Infrastructure Security Agency (CISA): « [CISA] encourage les utilisateurs et les administrateurs à mettre à jour la version la plus récente du micrologiciel et à remplacer les périphériques en fin de vie qui ne sont plus pris en charge par des correctifs de sécurité. »
Solution de contournement
La désactivation de la gestion à distance sur l'interface utilisateur Web de votre routeur réduit considérablement le risque d'exposition à ces vulnérabilités. La gestion à distance de l’interface utilisateur Web de votre routeur ou de votre passerelle est désactivée par défaut. Si vous n'avez jamais activé la gestion à distance, vous n'avez pas besoin d'effectuer d'action pour désactiver la gestion à distance.
Pour obtenir des instructions, reportez-vous à la section Comment désactiver la gestion à distance sur mon routeur ou ma passerelle NETGEAR ?.
Mentions légales
Ce document est fourni « tel quel » et n’implique aucun type de garantie, y compris de garanties de qualité marchande ni d’adéquation à un usage particulier. Votre utilisation des informations de ce document ou de ressources auxquelles renvoie ce document s’effectue à vos propres risques. NETGEAR se réserve le droit de modifier ou de mettre à jour ce document à tout moment. NETGEAR prévoit de mettre à jour ce document lorsque de nouvelles informations seront disponibles.
La faille de contournement de l'authentification reste possible si vous n'effectuez pas toutes les actions recommandées. NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées en suivant les recommandations de cette notification.
Remerciements
Anonyme travaillant avec Zero Day Initiative de Trend micro
Système de notation des vulnérabilités courantes
Indice CVSS v3.1 : moyen
CVSS v3.1 Score : 6.5
VECTEUR : CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Meilleures pratiques pour la mise à jour du micrologiciel
Nous vous recommandons de garder vos périphériques NETGEAR à jour avec la dernière version du micrologiciel. Les mises à jour du micrologiciel contiennent des correctifs de sécurité, des correctifs de bogues et de nouvelles fonctionnalités pour vos produits NETGEAR.
Si votre produit est pris en charge par l'une de nos applications, l'utilisation de l'application est le moyen le plus simple de mettre à jour votre micrologiciel :
- Produits Orbi : application Orbi NETGEAR
- Certains produits Nighthawk : application Nighthawk NETGEAR
- Certains produits NETGEAR entreprise : application Insight NETGEAR (les mises à jour du micrologiciel via l'application sont disponibles uniquement pour les abonnés Insight)
Si votre produit n'est pas pris en charge par l'une de nos applications, vous pouvez toujours mettre à jour votre micrologiciel manuellement en suivant les instructions du manuel d'utilisation de votre produit, les notes de mise à jour du micrologiciel ou la page d'assistance du produit. Pour plus d'informations, voir où puis-je trouver des informations sur mon produit NETGEAR ?.
Contact
Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.
Pour signaler une faille de sécurité, consultez le site http://www.netgear.com/about/security/.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Historique de révision
2020-09-14 :
- Avis publié
- Ajout d'une solution de contournement pour les modèles en dehors de la période de support de sécurité