NETGEAR è a conoscenza di due problemi di sicurezza correlati che possono consentire a un utente malintenzionato locale di eseguire comandi su un access point wireless al fine di ottenere l'accesso in lettura e scrittura al file system dell'access point. Queste vulnerabilità si verificano quando un utente malintenzionato esegue comandi mediante uno dei due moduli PHP non sicuri. È possibile utilizzare CSRF (Cross-Site Request Forgery) e XSS (Cross-Site Scripting) per sfruttare le stesse vulnerabilità in remoto.
Queste vulnerabilità interessano i seguenti prodotti:
- WN604 versione firmware 3.3.3 e precedenti
- WNAP210v2 versione firmware 3.5.20.0 e precedenti
- WNAP320 versione firmware 3.5.20.0 e precedenti
- WNDAP350 versione firmware 3.5.20.0 e precedenti
- WNDAP360 versione firmware 3.5.20.0 e precedenti
- WNDAP620 versione firmware 2.0.11 e precedenti
- WNDAP660 versione firmware 3.5.20.0 e precedenti
- WND930 versione firmware 2.0.11 e precedenti
- WAC120 versione firmware 2.0.7 e precedenti
Sono disponibili correzioni del firmware per tutti i prodotti interessati. NETGEAR consiglia fortemente a tutti gli utenti di eseguire l'aggiornamento alla versione firmware più recente, che corregge le vulnerabilità nell'esecuzione di comandi e danneggiamento del file system e convalida correttamente l'input del modulo PHP.
Per scaricare l'aggiornamento firmware che corregge le vulnerabilità PHP:
- Visitare il Download Center di NETGEAR.
- Nel campo Cerca per, selezionare la casella accanto a Firmware/Software.
- Immettere il numero di modello nella casella di ricerca e fare clic sulla lente d'ingrandimento.
- Selezionare il modello in uso dalle opzioni del menu a discesa.
Se non viene visualizzato un menu a discesa, assicurarsi di aver inserito il numero di modello corretto, oppure utilizzare la funzione di drill-down del prodotto per trovare il proprio modello. - Fare clic sulla versione firmware più recente, che si trova in cima all'elenco.
Il download del firmware inizia appena si seleziona una destinazione. - (Opzionale) Per visualizzare le note sulla versione per questa versione firmware, fare clic su Note sulla versione.
- Decomprimere il nuovo firmware in un posto facile da trovare, ad esempio sul desktop.
- Installare il nuovo firmware seguendo le istruzioni contenute nel manuale utente del prodotto, disponibile nella sezione Documentazione del Download Center.
I potenziali rischi di accesso remoto, danneggiamento del file system e di vulnerabilità dell'esecuzione di comandi restano invariati se non si effettua l'aggiornamento del firmware. NETGEAR non è responsabile per eventuali conseguenze che potrebbero essere evitate aggiornando il firmware come suggerito in questa notifica.
Apprezziamo e ci teniamo ad essere informati di eventuali problemi relativi alla sicurezza. NETGEAR monitora costantemente sia le minacce note sia quelle sconosciute. Presso NETGEAR, preferiamo un approccio proattivo invece che reattivo rispetto ai nuovi problemi di sicurezza, una caratteristica fondamentale per fornire il miglior supporto dei prodotti.
La missione di NETGEAR è proprio quella di essere un leader innovativo nella connessione Internet a livello mondiale. Per raggiungere questo obiettivo, ci impegniamo a conquistare e a mantenere la fiducia di tutti coloro che utilizzano NETGEAR per le proprie connessioni.
Per segnalare una vulnerabilità della sicurezza, visitare il sito Web https://bugcrowd.com/netgear.
Se sei un cliente NETGEAR e hai un dubbio relativo alla sicurezza, puoi contattare l'assistenza clienti NETGEAR all'indirizzo techsupport.security@netgear.com.
Per tutti gli altri problemi, visitare il sito Web http://www.netgear.com/about/security/.
L'indirizzo e-mail security@netgear.com non accetta più messaggi e non sarà più monitorato.