ID ZDI ASSOCIÉ : ZDI-CAN-13709
Première publication : 28-10-2021
NETGEAR a publié des correctifs pour une faille de sécurité concernant un débordement de mémoire tampon avant authentification pour les modèles de produits suivants :
Répéteurs
- EX6120 corrigé dans la version 1.0.0.64 du firmware
- EX6130 corrigé dans la version 1.0.0.44 du firmware
- EX7500 corrigé dans la version 1.0.1.76 du firmware
Routeurs
- R6400 corrigé dans la version 1.0.1.74 du firmware
- R6400v2 corrigé dans la version 1.0.4.118 du firmware
- R6700v3 corrigé dans la version 1.0.4.118 du firmware
- R6900P corrigé dans la version 1.3.3.140 du firmware
- R7000 corrigé dans la version 1.0.11.126 du firmware
- R7000P corrigé dans la version 1.3.3.140 du firmware
- R7850 corrigé dans la version 1.0.5.76 du firmware
- R7900P corrigé dans la version 1.4.2.84 du firmware
- R7960P corrigé dans la version 1.4.2.84 du firmware
- R8000 corrigé dans la version 1.0.4.76 du firmware
- R8000P corrigé dans la version 1.4.2.84 du firmware
- RAX15 corrigé dans la version 1.0.4.100 du firmware
- RAX20 corrigé dans la version 1.0.4.100 du firmware
- RAX200 corrigé dans la version 1.0.5.132 du firmware
- RAX35v2 corrigé dans la version 1.0.4.100 du firmware
- RAX38v2 corrigé dans la version 1.0.4.100 du firmware
- RAX40v2 corrigé dans la version 1.0.4.100 du firmware
- RAX42 corrigé dans la version 1.0.4.100 du firmware
- RAX43 corrigé dans la version 1.0.4.100 du firmware
- RAX45 corrigé dans la version 1.0.4.100 du firmware
- RAX48 corrigé dans la version 1.0.4.100 du firmware
- RAX50 corrigé dans la version 1.0.4.100 du firmware
- RAX50S corrigé dans la version 1.0.4.100 du firmware
- RAX200 corrigé dans la version 1.0.5.132 du firmware
- RAX200 corrigé dans la version 1.0.5.132 du firmware
- RAX450 corrigé dans la version 1.0.8.70 du firmware
- RAXE500 corrigé dans la version 1.0.8.70 du firmware
- RS400 corrigé dans la version 1.5.1.80 du firmware
- WNDR3400v3 corrigé dans la version 1.0.1.42 du firmware
- WNR3500Lv2 corrigé dans la version 1.2.0.70 du firmware
Routeurs modem DSL :
- D6220 corrigé dans la version 1.0.0.76 du firmware
- Correction du D6400 dans la version 1.0.0.108 du firmware
NETGEAR développe et teste des correctifs de micrologiciel supplémentaires, que nous allons publier dès qu'ils seront disponibles.
NETGEAR conseille vivement de télécharger le dernier firmware dès que possible.
Pour télécharger le dernier micrologiciel (firmware) pour votre produit NETGEAR :
- Consultez le support NETGEAR.
- Saisissez le début de votre numéro de modèle dans la case de recherche, puis sélectionnez votre modèle dans le menu déroulant dès qu'il apparaît.
Si vous ne voyez pas de menu déroulant, assurez-vous d'avoir saisi votre numéro de modèle correctement ou sélectionnez une catégorie de produits pour trouver votre modèle. - Cliquez sur Téléchargements.
- Sous Versions actuelles, sélectionnez le premier téléchargement dont le titre commence par Version du micrologiciel.
- Cliquez sur Notes de publication.
- Suivez les instructions des notes de publication pour télécharger et installer le nouveau firmware.
Correctifs de sécurité
Les correctifs de sécurité sont des correctifs qui s'appliquent en plus du micrologiciel (firmware) existant, et sont entièrement testés. La publication de correctifs permet à NETGEAR de mettre à jour rapidement les produits existants et de rationaliser le processus de vérification du micrologiciel (firmware) sans passer par des tests de régression complets. Ces correctifs visent des problèmes de sécurité spécifiques et devraient avoir un effet minimal sur les autres domaines du code du produit. Par conséquent, nous ne pensons pas que l'installation du correctif affectera le fonctionnement régulier de votre produit. Bien que notre processus de test préalable au déploiement n'ait pas indiqué que ces correctifs affecteraient le fonctionnement des périphériques, mais étant donné que les tests de régression complets sont réservés aux correctifs de micrologiciel (firmware) de production finale, nous encourageons toujours nos utilisateurs à surveiller étroitement leurs périphériques après l'installation d'un correctif (hotfixes).
Mentions légales
Ce document est fourni « tel quel » et n’implique aucun type de garantie, y compris de garanties de qualité marchande ni d’adéquation à un usage particulier. L'utilisation des informations de ce document ou de ressources auxquelles renvoie ce document s’effectue à vos propres risques. NETGEAR se réserve le droit de modifier ou de mettre à jour ce document à tout moment. NETGEAR prévoit de mettre à jour ce document lorsque de nouvelles informations seront disponibles.
La faille de débordement de mémoire tampon avant authentification demeure si vous n'effectuez pas toutes les actions recommandées. NETGEAR ne peut être tenu pour responsable des conséquences qui auraient pu être évitées en suivant les recommandations de cette notification.
Remerciements
Sungur Labs en collaboration avec Trend micro Zero Day Initiative
Système de notation des vulnérabilités courantes
Note : Élevée
Note : 8.8
Vecteur : CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Meilleures pratiques pour la mise à jour du micrologiciel (firmware)
Nous vous recommandons de garder vos périphériques NETGEAR à jour avec la dernière version du micrologiciel (firmware). Les mises à jour du micrologiciel (firmware) contiennent des correctifs de sécurité, des correctifs de bugs et de nouvelles fonctionnalités pour vos produits NETGEAR.
Si votre produit est pris en charge par l'une de nos applications, l'utilisation de l'application est le moyen le plus simple de mettre à jour votre micrologiciel (firmware) :
- Produits Orbi : application NETGEAR Orbi
- Routeurs WiFi NETGEAR : application NETGEAR Nighthawk
- Certains produits NETGEAR pour les entreprises : application NETGEAR Insight (les mises à jour du micrologiciel (firmware) via l'application sont disponibles uniquement pour les abonnés Insight)
Si votre produit n'est pas pris en charge par l'une de nos applications, vous pouvez toujours mettre à jour votre micrologiciel (firmware) manuellement en suivant les instructions du manuel d'utilisation de votre produit, les notes de mise à jour du micrologiciel (firmware) ou la page d'assistance du produit. Pour plus d'informations, consultez Où puis-je trouver des informations sur mon produit NETGEAR ?.
Contact
Nous apprécions fortement que vous nous fassiez part d’éventuelles failles en matière de sécurité. NETGEAR surveille constamment les menaces connues et inconnues. En matière de support produit, notre objectif est d'anticiper autant que possible les problèmes de sécurité et nous prenons très au sérieux la fiabilité de nos produits et la sécurité de nos utilisateurs.
En tant que leader de l'innovation, NETGEAR a pour mission de connecter le monde à Internet. Pour accomplir cette mission, nous déployons tous nos efforts afin de gagner et de conserver la confiance de ceux qui utilisent les équipements NETGEAR.
Pour signaler une faille de sécurité, consultez le site https://bugcrowd.com/netgear.
Si vous êtes client NETGEAR et que vous rencontrez un problème lié à la sécurité, vous pouvez contacter l'assistance NETGEAR sur le site techsupport.security@netgear.com.
Pour tous les autres problèmes, consultez le site http://www.netgear.com/about/security/.
Historique de révision
28-10-2021 : Avis publié