Questa avvertenza sulla sicurezza riguarda le seguenti vulnerabilità CVE:
- CVE-2017-5715
- CVE-2017-5753
- CVE-2017-5754
NETGEAR è a conoscenza di due diverse vulnerabilità per la sicurezza relative all'esecuzione speculativa di codici, denominate Spectre e Meltdown ("vulnerabilità"), in numerosi processori di altri fornitori che sono incorporati ai sistemi NETGEAR ReadyNAS, ReadyDATA e nella famiglia di prodotti Connected Home. Tali vulnerabilità possono essere sfruttate solo da individui in grado di caricare ed eseguire codici dannosi o compromessi sui prodotti ReadyNAS e ReadyDATA in cui siano stati attivati privilegi non predefiniti.
La famiglia di prodotti Connected Home interessati include router, gateway, hotspot mobili ed extender. Per i prodotti Connected Home, NETGEAR non è al momento a conoscenza di un modo per sfruttare le vulnerabilità indicate. Stiamo ancora valutando l'impatto di queste vulnerabilità con l'aiuto dei nostri fornitori di chipset. I proprietari di prodotti Connected Home non devono intraprendere alcuna azione per il momento.
NETGEAR non ritiene che queste vulnerabilità rappresentino una minaccia tale da richiedere lo spegnimento o la rimozione dei prodotti NETGEAR dalla propria rete; tuttavia, consigliamo ai possessori di sistemi ReadyNAS e ReadyDATA di attenersi alle procedure per soluzioni alternative elencate nella sezione Soluzioni alternative di questa avvertenza.
NETGEAR intende rilasciare aggiornamenti del firmware testati in maniera ottimale, in grado di correggere o ridurre le vulnerabilità in questione per tutti i prodotti che rientrano ancora nel periodo di supporto per la protezione. Al momento, NETGEAR sta testando e implementando un aggiornamento del firmware ReadyNAS.
In particolare, NETGEAR ha confermato che i seguenti prodotti sono potenzialmente esposti a un attacco:
ReadyNAS
- RN12G
- RN12P
- RN12S
- RN12T
- RN202
- RN204
- RN212
- RN214
- RN3130
- RN3138
- RN3220
- RN422
- RN4220
- RN424
- RN426
- RN428
- RN524X
- RN526X
- RN528X
- RN626X
- RN628X
- RNDP6000-200
- RNRP4000
- RR2304
- RR2312
- RR3312
- RR4312X
- RR4360X
ReadyDATA
- RD5200
- RDD516
I seguenti prodotti interessati non rientrano più nel periodo di supporto per la protezione:
- RD5200
- RDD516
- RN12G
- RN12P
- RN12S
- RN12T
- RNDP6000
- RNRP4000
NETGEAR aggiornerà questo articolo non appena saranno disponibili ulteriori informazioni.
Soluzioni alternative
NETGEAR raccomanda di attenersi alle presenti soluzioni alternative per i propri sistemi di storage ReadyNAS o ReadyDATA fino a quando non saranno disponibili aggiornamenti del firmware per il prodotto:
- Disattivare il protocollo SSH (Secure Socket Shell) sui prodotti ReadyNAS o ReadyDATA in uso.
Il protocollo SSH è disattivato per impostazione predefinita. Per ulteriori informazioni, consultare i documenti ReadyNAS OS 6: SSH access support and configuration guides ("ReadyNAS OS6: guide alla configurazione e supporto per l'accesso a SSH") o il manuale software del prodotto in uso. - Installare ed eseguire sui propri prodotti ReadyNAS o ReadyDATA solo applicazioni provenienti da fonti attendibili e affidabili.
Declinazione di responsabilità
Se non si completano tutti i passaggi consigliati, le vulnerabilità in questione potrebbero rimanere. NETGEAR non è responsabile per eventuali conseguenze che potrebbero essere evitate seguendo i suggerimenti di questa notifica.
Vettori Common Vulnerability Scoring System
Valutazione CVSS v3: media
Punteggio CVSS v3: 5.6
Vettore: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
Contatti
Apprezziamo e ci teniamo ad essere informati di eventuali problemi relativi alla sicurezza. NETGEAR monitora costantemente sia le minacce note sia quelle sconosciute. Presso NETGEAR, preferiamo un approccio proattivo invece che reattivo rispetto ai nuovi problemi di sicurezza, una caratteristica fondamentale per fornire il miglior supporto dei prodotti.
La missione di NETGEAR è proprio quella di essere un leader innovativo nella connessione Internet a livello mondiale. Per raggiungere questo obiettivo, ci impegniamo a conquistare e a mantenere la fiducia di tutti coloro che utilizzano NETGEAR per le proprie connessioni.
Per segnalare una vulnerabilità della sicurezza, visitare http://www.netgear.it/about/security/.
Se si è un cliente NETGEAR e si hanno dubbi o domande relative alla sicurezza, è possibile contattare l'assistenza clienti NETGEAR all'indirizzo e-mail techsupport.security@netgear.com.
Cronologia delle revisioni
07/01/2018: pubblicazione avvertenza
17/01/2018:
- Aggiunte informazioni sull'impatto delle vulnerabilità sui prodotti Connected Home
- Aggiunta di RNRP4000 all'elenco dei prodotti interessati
- Aggiunto un elenco dei prodotti interessati che non rientrano più nel periodo di supporto per la protezione