Avis de sécurité concernant la vulnérabilité d'injection de commandes non authentifiées sur certains relais Et Orbi

CVE IDS associés : aucun.

ID ZDI ASSOCIÉ : ZDI-CAN-11076

NETGEAR a publié des correctifs pour une vulnérabilité de sécurité d'injection de commandes non authentifiée sur les modèles de produits suivants :

• CBK40 exécutant des versions de micrologiciel antérieures à 2.6.1.38
• CBK43 exécutant des versions de micrologiciel antérieures à 2.6.1.38
• EX6200v2 exécutant des versions de micrologiciel antérieures à la version 1.0.1.82
• EX7700 exécutant des versions de micrologiciel antérieures à la version 1.0.0.210
• EX8000 exécutant des versions de micrologiciel antérieures à 1.0.1.224
• RBK12 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBK13 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBK14 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBK15 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBK20 exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBK20W exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBK22 exécutant les versions de micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK23 exécutant les versions de micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK23W exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBK30 exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBK33 exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBK40 exécutant les versions de micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK43 exécutant les versions du micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK43S exécutant des versions de micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK44 exécutant les versions de micrologiciel antérieures à 2.6.1.36 (routeur) et 2.6.1.38 (satellite)
• RBK50 exécutant des versions de micrologiciel antérieures à 2.6.1.40
• RBK50V exécutant des versions de micrologiciel antérieures à 2.6.1.40
• RBK52W exécutant des versions de micrologiciel antérieures à 2.6.1.40
• RBR10 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBR20 exécutant les versions du micrologiciel antérieures à 2.6.1.36
• RBR40 exécutant des versions de micrologiciel antérieures à 2.6.1.36
• RBR50 exécutant les versions du micrologiciel antérieures à 2.6.1.40
• RBS10 exécutant des versions de micrologiciel antérieures à 2.6.1.38_hotfix
• RBS20 exécutant les versions du micrologiciel antérieures à 2.6.1.38
• RBS40 exécutant les versions du micrologiciel antérieures à 2.6.1.38
• RBS50 exécutant les versions du micrologiciel antérieures à 2.6.1.40

NETGEAR vous recommande vivement de télécharger les derniers correctifs ou correctifs de micrologiciel Dès que possible. Des correctifs ou des correctifs de micrologiciel sont actuellement disponibles pour tous les produits concernés.

Pour plus d'informations sur les correctifs, reportez-vous à la section correctifs de sécurité de cet Avis.

Pour télécharger le dernier micrologiciel (firmware) pour votre produit NETGEAR :

1. Consultez le support NETGEAR.
2. Saisissez le début de votre numéro de modèle dans la case de recherche, puis sélectionnez votre modèle dans le menu déroulant dès qu'il apparaît.
   Si vous ne voyez pas de menu déroulant, assurez-vous d'avoir saisi votre numéro de modèle correctement ou sélectionnez une catégorie de produits pour trouver votre modèle.
3. Cliquez sur Téléchargements.
4. Sous versions actuelles, sélectionnez le premier téléchargement dont le titre commence par version du micrologiciel.
5. Cliquez sur Notes de publication.
6. Suivez les instructions des notes de publication pour télécharger et installer le nouveau firmware.

Correctifs de sécurité

Les correctifs de sécurité sont des correctifs qui s'appliquent au-dessus du micrologiciel existant, entièrement testé. La publication de correctifs permet à NETGEAR de mettre à jour rapidement les produits existants et de rationaliser le processus de vérification du micrologiciel sans passer par des tests de régression complets. Ces correctifs visent des problèmes de sécurité spécifiques et devraient avoir un effet minimal sur d’autres zones du code du produit. Par conséquent, nous ne nous attendons pas à ce que l'installation du correctif affecte le fonctionnement normal de votre produit. Bien que notre processus de test préalable au déploiement n'ait pas indiqué que ces correctifs affecteraient le fonctionnement des périphériques, étant donné que les tests de régression complets sont réservés aux correctifs de micrologiciel de production finale, nous encourageons toujours nos utilisateurs à surveiller étroitement leurs périphériques après l'installation d'un correctif de micrologiciel.

Mentions légales

Ce document est fourni « tel quel » et n’implique aucun type de garantie, y compris de garanties de qualité marchande ni d’adéquation à un usage particulier. Votre utilisation des informations de ce document ou de ressources auxquelles renvoie ce document s’effectue à vos propres risques. NETGEAR se réserve le droit de modifier ou de mettre à jour ce document à tout moment. NETGEAR prévoit de mettre à jour ce document lorsque de nouvelles informations seront disponibles.

La vulnérabilité d'injection de commande non authentifiée reste présente si vous n'effectuez pas toutes les étapes recommandées. NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées en suivant les recommandations de cette notification.

Remerciements

Initiative Zero Day de Trend micro

Système de notation des vulnérabilités courantes

Note: Élevée

Note: 8.8

VECTEUR : CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Meilleures pratiques pour la mise à jour du micrologiciel

Nous vous recommandons de garder vos périphériques NETGEAR à jour avec la dernière version du micrologiciel. Les mises à jour du micrologiciel contiennent des correctifs de sécurité, des correctifs de bogues et de nouvelles fonctionnalités pour vos produits NETGEAR.

Si votre produit est pris en charge par l'une de nos applications, l'utilisation de l'application est le moyen le plus simple de mettre à jour votre micrologiciel :

• Produits Orbi : application Orbi NETGEAR
• Routeurs WiFi Nighthawk : application Nighthawk NETGEAR
• Certains produits NETGEAR pour les entreprises : application Insight NETGEAR (les mises à jour du micrologiciel via l'application sont disponibles uniquement pour les abonnés Insight)

Si votre produit n'est pas pris en charge par l'une de nos applications, vous pouvez toujours mettre à jour votre micrologiciel manuellement en suivant les instructions du manuel d'utilisation de votre produit, les notes de mise à jour du micrologiciel ou la page d'assistance du produit. Pour plus d'informations, voir où puis-je trouver des informations sur mon produit NETGEAR ?.

Contact

Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.

En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.

Pour signaler une faille de sécurité, consultez le site https://bugcrowd.com/netgear. 

Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com. 

Pour tous les autres problèmes, consultez le site http://www.netgear.com/about/security/. 

Historique de révision

2020-11-06: Avis publié