Powiązane identyfikatory CVE:
- CVE-2017-13077
- CVE-2017-13078
- CVE-2017-13079
- CVE-2017-13080
- CVE-2017-13081
- CVE-2017-13082
- CVE-2017-13084
- CVE-2017-13086
- CVE-2017-13087
- CVE-2017-13088
Powiązany numer CERT/CC VU: VU#228519
Firma NETGEAR ma świadomość luk zabezpieczeń związanych z WPA-2 (tzw. ataków KRACK), które dotykają produktów NETGEAR połączonych z sieciami WiFi jako systemy klienckie. Luki te mogą zostać potencjalnie wykorzystane w następujących warunkach:
- Urządzenia są narażone tylko, jeżeli intruz znajduje się w pobliżu oraz w zasięgu sieci bezprzewodowej.
- Routery i bramy są narażone tylko w trybie mostka (który nie jest domyślnie włączony i nie jest używany przez większość klientów). Wymiana potwierdzeń WPA-2 jest inicjowana przez router w trybie mostka tylko podczas łączenia lub ponownego łączenia z routerem.
- Wzmacniacze, kamery Arlo i satelity są narażone podczas wymiany potwierdzeń WPA-2, która jest inicjowana przez router w trybie mostka tylko podczas łączenia lub ponownego łączenia z routerem.
- Mobilne punkty dostępowe są narażone tylko podczas odciążania danych sieci WiFi, które nie jest domyślnie włączone.
W przypadku wykorzystania tych luk zabezpieczeń intruz może potencjalnie wykonać między innymi następujące rodzaje ataków:
- Podsłuchiwanie komunikacji między narażonym produktem i routerem, z którym jest połączony.
- Przechwytywanie nieszyfrowanych sesji internetowych (sesji niewykorzystujących HTTPS). Szyfrowany ruch sieciowy, w tym sesje w bankowości elektronicznej i kanały kamery Arlo, pozostaje chroniony.
Luki WPA-2 dotyczą następujących produktów:
Kamery Arlo:
- ABC1000
- VMC3040
- VMC3040S
Systemy Orbi i Orbi Pro WiFi:
- RBS50 z oprogramowaniem sprzętowym w wersji 2.0.0.74 lub wcześniejszej
- RBS40 z oprogramowaniem sprzętowym w wersji 2.0.0.56 lub wcześniejszej
- RBW30 z oprogramowaniem sprzętowym w wersji 2.0.0.34 lub wcześniejszej
- SRR60 i SRS60 z oprogramowaniem sprzętowym w wersji 1.12.1.28 lub wcześniejszej
Routery i bramy (jeżeli są używane w trybie mostka):
- JR6150 z oprogramowaniem sprzętowym w wersji 1.0.1.10 lub wcześniejszej
- R6020 z oprogramowaniem sprzętowym w wersji 1.0.0.18 lub wcześniejszej
- R6050 z oprogramowaniem sprzętowym w wersji 1.0.1.10 lub wcześniejszej
- R6080 z oprogramowaniem sprzętowym w wersji 1.0.0.18 lub wcześniejszej
- R6100 z oprogramowaniem sprzętowym w wersji 1.0.1.16 lub wcześniejszej
- R6120 z oprogramowaniem sprzętowym w wersji 1.0.0.30 lub wcześniejszej
- R6220 z oprogramowaniem sprzętowym w wersji 1.1.0.50 lub wcześniejszej
- R6250 z oprogramowaniem sprzętowym w wersji 1.0.4.14 lub wcześniejszej
- R6700v2 z oprogramowaniem sprzętowym w wersji 1.1.0.42 lub wcześniejszej
- R6800 z oprogramowaniem sprzętowym w wersji 1.1.0.42 lub wcześniejszej
- R6900 z oprogramowaniem sprzętowym w wersji 1.0.1.30 lub wcześniejszej
- R7000 z oprogramowaniem sprzętowym w wersji 1.0.9.12 lub wcześniejszej
- R7500 z oprogramowaniem sprzętowym w wersji 1.0.0.110 lub wcześniejszej
- R7500v2 z oprogramowaniem sprzętowym w wersji 1.0.3.16 lub wcześniejszej
- R7800 z oprogramowaniem sprzętowym w wersji 1.0.2.36 lub wcześniejszej
- R8300 z oprogramowaniem sprzętowym w wersji 1.0.2.106 lub wcześniejszej
- R8500 z oprogramowaniem sprzętowym w wersji 1.0.2.106 lub wcześniejszej
- R9000 z oprogramowaniem sprzętowym w wersji 1.0.2.40 lub wcześniejszej
Wzmacniacze sygnału sieci WiFi:
- EX2700 z oprogramowaniem sprzętowym w wersji 1.0.1.20 lub wcześniejszej
- EX3700 z oprogramowaniem sprzętowym w wersji 1.0.0.62 lub wcześniejszej
- EX3800 z oprogramowaniem sprzętowym w wersji 1.0.0.62 lub wcześniejszej
- EX6000 z oprogramowaniem sprzętowym w wersji 1.0.0.20_1.0.11 lub wcześniejszej
- EX6100v1 z oprogramowaniem sprzętowym w wersji 1.0.2.16_1.1.130 lub wcześniejszej
- EX6100v2 z oprogramowaniem sprzętowym w wersji 1.0.1.50 lub wcześniejszej
- EX6120 z oprogramowaniem sprzętowym w wersji 1.0.0.30_1.0.20 lub wcześniejszej
- EX6130 z oprogramowaniem sprzętowym w wersji 1.0.0.16 lub wcześniejszej
- EX6150v1 z oprogramowaniem sprzętowym w wersji 1.0.0.32_1.0.68 lub wcześniejszej
- EX6150v2 z oprogramowaniem sprzętowym w wersji 1.0.1.50 lub wcześniejszej
- EX6200v1 z oprogramowaniem sprzętowym w wersji 1.0.3.76_1.1.111 lub wcześniejszej
- EX6200v2 z oprogramowaniem sprzętowym w wersji 1.0.1.50 lub wcześniejszej
- EX6400 z oprogramowaniem sprzętowym w wersji 1.0.1.60 lub wcześniejszej
- EX7000 z oprogramowaniem sprzętowym w wersji 1.0.0.50_1.0.101 lub wcześniejszej
- EX7300 z oprogramowaniem sprzętowym w wersji 1.0.1.60 lub wcześniejszej
- PR2000 z oprogramowaniem sprzętowym w wersji 1.0.0.18 lub wcześniejszej
- WN2000RPTv3 z oprogramowaniem sprzętowym w wersji 1.0.1.4 lub wcześniejszej
- WN3000RPv3 z oprogramowaniem sprzętowym w wersji 1.0.2.32 lub wcześniejszej
- WN3100RPv2 z oprogramowaniem sprzętowym w wersji 1.0.0.22 lub wcześniejszej
Karty WiFi:
- A6100 z oprogramowaniem sprzętowym w wersji 1.0.0.32 lub wcześniejszej
- A6210 z oprogramowaniem sprzętowym w wersji 1.0.0.36 lub wcześniejszej
- A7000 z oprogramowaniem sprzętowym w wersji 1.0.0.11 lub wcześniejszej
- WNA3100M z oprogramowaniem sprzętowym w wersji 1.2.0.7 lub wcześniejszej
- WNDA3100v3 z oprogramowaniem sprzętowym w wersji 1.0.0.10 lub wcześniejszej
Mobilne punkty dostępowe:
- AC810
- AC815
- MR1100
Bezprzewodowe punkty dostępowe:
- WAC104 z oprogramowaniem sprzętowym w wersji wcześniejszej od 1.0.4.9
- WAC120 z oprogramowaniem w wersji wcześniejszej od 2.1.5
- WAC505 z oprogramowaniem sprzętowym w wersji wcześniejszej od 1.5.3.7
- WAC510 z oprogramowaniem sprzętowym w wersji wcześniejszej od 1.5.3.7
- WAC720 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.12.0
- WAC730 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.12.0
- WAC740, tylko zarządzane przez kontroler
- WN370, tylko zarządzane przez kontroler
- WN604 z oprogramowaniem w wersji wcześniejszej od 3.3.8
- WNAP210v2 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.7.0
- WNAP320 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.7.0
- WND930 z oprogramowaniem w wersji wcześniejszej od 2.1.3
- WNDAP350 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.7.0
- WNDAP360 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.7.0
- WNDAP380R, tylko zarządzane przez kontroler
- WNDAP620 z oprogramowaniem w wersji wcześniejszej od 2.1.4
- WNDAP660 z oprogramowaniem sprzętowym w wersji wcześniejszej od 3.7.7.0
Poprawki oprogramowania sprzętowego są aktualnie dostępne dla wybranych produktów, których dotyczy ten problem:
- EX2700
- EX3110
- EX3700
- EX3800
- EX6000
- EX6100
- EX6100v2
- EX6110
- EX6120
- EX6130
- EX6150v1
- EX6150v2
- EX6200
- EX6200v2
- EX6400
- EX7000
- EX7300
- EX8000
- R6100
- R6250
- R6300v2
- R6400
- R7800
- R8900
- R9000
- WAC104
- WAC120
- WAC505
- WAC510
- WAC720
- WAC730
- WAC740 (naprawione poprzez aktualizację oprogramowania sprzętowego kontrolera sieci bezprzewodowej)
- WN370 (naprawione poprzez aktualizację oprogramowania sprzętowego kontrolera sieci bezprzewodowej)
- WN604
- WN2000RPTv3
- WN3000RPv3
- WN3100RPv2
- WNAP210v2
- WNAP320
- WND930
- WNDAP350
- WNDAP360
- WNDAP380R (naprawione poprzez aktualizację oprogramowania sprzętowego kontrolera sieci bezprzewodowej)
- WNDAP620
- WNDAP660
W przypadku samodzielnych punktów dostępowych należy zaktualizować oprogramowanie sprzętowe punktu dostępowego. W przypadku punktów dostępowych zarządzanych przez kontroler należy zaktualizować oprogramowanie sprzętowe kontrolera sieci bezprzewodowej.
Omawiana luka zabezpieczeń nie wpływa na same kontrolery sieci bezprzewodowej, ponieważ klienckie urządzenia bezprzewodowe nie łączą się bezpośrednio z kontrolerem. Należy jednak zaktualizować oprogramowanie sprzętowe kontrolera sieci bezprzewodowej, tak aby kontroler mógł zaktualizować punkty dostępowe, którymi zarządza. Firma NETGEAR usunęła luki zabezpieczeń związane z WPA-2 w najnowszym oprogramowaniu sprzętowym dla następujących modeli kontrolerów sieci bezprzewodowych:
- WC7500, oprogramowanie sprzętowe w wersji 6.5.2.3
- WC7520, oprogramowanie sprzętowe w wersji 2.5.0.45
- WC7600v1, oprogramowanie sprzętowe w wersji 6.5.2.3
- WC7600v2, oprogramowanie sprzętowe w wersji 6.5.2.3
- WC9500, oprogramowanie sprzętowe w wersji 6.5.2.3
Aby pobrać najnowszą wersję oprogramowania sprzętowego dla posiadanego produktu firmy NETGEAR:
- Odwiedź stronę pomocy technicznej firmy NETGEAR.
- Zacznij wpisywać numer modelu w polu wyszukiwania, a następnie wybierz żądany model z menu rozwijanego, kiedy tylko zostanie na niej wyświetlony.
Jeśli nie widzisz rozwijanego menu upewnij się, że wpisany numer modelu jest poprawny. Możesz też wybrać kategorię produktów, aby wyszukać swój model produktu. - Kliknij opcję Plik do pobrania.
- W obszarze Bieżące wersje wybierz plik do pobrania, którego nazwa zaczyna się od słów Oprogramowanie sprzętowe.
- Kliknij opcję Pobierz.
- (Opcjonalnie) Aby wyświetlić uwagi o wersji dla tej wersji oprogramowania sprzętowego, kliknij przycisk Uwagi do wydania.
- Rozpakuj nowe oprogramowanie sprzętowe w łatwej do znalezienia lokalizacji, np. na pulpicie.
- Stosuj się do instrukcji zawartych w podręczniku użytkownika, który jest dostępny na stronie pomocy technicznej dla produktu w sekcji Podręczniki użytkownika i dokumentacja.
Firma NETGEAR stanowczo zaleca jak najszybsze pobranie najnowszego oprogramowania sprzętowego.
W przypadku produktów Arlo i Orbi aktualizacje oprogramowania sprzętowego są automatycznie wysyłane na urządzenia. Nie trzeba aktualizować oprogramowania sprzętowego ręcznie.
Do czasu udostępnienia poprawki oprogramowania sprzętowego dla posiadanego produktu firma NETGEAR zaleca przeprowadzenie następujących procedur rozwiązywania problemów:
- W przypadku routerów bezprzewodowych w trybie mostka: wyłącz tryb mostka lub wyłącz zasilanie routera. Więcej informacji można znaleźć w podręczniku użytkownika dotyczącego przypadku lub w jednym z następujących artykułów bazy wiedzy:
- W przypadku mobilnych punktów dostępowych korzystających z funkcji odciążenia sieci WiFi: wyłącz funkcję odciążenia sieci WiFi. Więcej informacji można znaleźć w podręczniku użytkownika dotyczącym produktu.
Firma NETGEAR będzie aktualizować niniejszą informację w miarę dostępności nowych danych.
Poprawki zabezpieczeń
Poprawki zabezpieczeń to oprogramowanie sprzętowe w wersji beta, stworzone poza normalnymi procesami programowania i testowania. Choć poprawki usuwają lukę zabezpieczeń, mogą negatywnie wpływać na działanie urządzeń.
Poprawki zabezpieczeń (oprogramowanie sprzętowe w wersji beta) są aktualnie dostępne dla następujących produktów, których dotyczy ten problem:
- SRR60 i SRS60 (Orbi Pro)
Aby pobrać poprawkę zabezpieczeń dla Orbi Pro:
- Odwiedź stronę https://kb.netgear.com/000049563/SRR60-SRS60-Firmware-Version-1-12-1-34-Hot-Fix.
- Kliknij każdy z plików oprogramowania sprzętowego, aby pobrać go na komputer.
- Rozpakuj pliki oprogramowania sprzętowego w łatwej do znalezienia lokalizacji, np. na pulpicie.
- Postępuj zgodnie z instrukcjami aktualizacji oprogramowania sprzętowego podanymi na stronach 77-78 w podręczniku użytkownika Orbi Pro: http://www.downloads.netgear.com/files/GDC/SRK60/SRK60_UM_EN.pdf.
Wyłączenie odpowiedzialności
Luki w zabezpieczeniach związane z WPA-2 nadal będą stanowić problem, jeśli użytkownik nie przeprowadzi wszystkich zalecanych czynności. Firma NETGEAR nie ponosi żadnej odpowiedzialności za konsekwencje, których można było uniknąć poprzez zastosowanie się do zaleceń w niniejszym powiadomieniu.
Podziękowania
Mathy Vanhoef (https://www.krackattacks.com/)
Common Vulnerability Scoring System
Ocena zagrożenia w skali CVSS v3: średnie
Wynik punktowy w skali CVSS v3: 6,8
CVSS v3 Wektor: AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
KONTAKT
Doceniamy zwracanie uwagi na problemy związane z bezpieczeństwem. Firma NETGEAR stale monitoruje znane i nieznane zagrożenia. Proaktywność zamiast reaktywności w odniesieniu do kwestii związanych z bezpieczeństwem to fundamentalna zasada pomocy technicznej dla produktów firmy NETGEAR.
Firma NETGEAR stawia sobie za cel bycie liderem innowacji w zakresie łączenia całego świata z Internetem. Aby osiągnąć ten cel, staramy się nie tylko zdobyć, lecz także i utrzymać zaufanie klientów, którzy korzystają z produktów NETGEAR zapewniających łączność.
Luki zabezpieczeń można zgłaszać za pośrednictwem strony http://www.netgear.com/about/security/.
Klienci firmy NETGEAR, poszukujący wsparcia w zakresie bezpieczeństwa, mogą kontaktować się z działem obsługi klienta firmy NETGEAR pod adresem techsupport.security@netgear.com.
Historia wersji
16.10.2017: publikacja informacji
16.10.2017: zmieniono opis luki zabezpieczeń w celu uczynienia go bardziej zrozumiałym
16.10.2017: zaktualizowano listę narażonych produktów
25.10.2017: dodano WAC104 do listy naprawionych produktów
03.11.2017:
- dodano SRS60 do listy narażonych produktów
- Dodano następujące identyfikatory CVE:
- CVE-2017-13084
- CVE-2017-13086
- CVE-2017-13087
- CVE-2017-13088
17.11.2017:
- Dodano R6900, WAC740, WN370 i WNDAP380R do listy narażonych produktów
- Dodano WAC740, WN370 i WNDAP380R do listy naprawionych produktów
- Dodano objaśnienie procedury aktualizacji punktów dostępowych zarządzanych przez kontroler
21.11.2017:
- dodano SRR60 do listy narażonych produktów
- Dodano poprawki zabezpieczeń i instrukcje pobrania dotyczące SRR60 i SRS60 (Orbi Pro)
- Wymieniono ataki KRACK z nazwy
19.12.2017:
dodano do listy naprawionych produktów 28 modeli: EX2700, EX3110, EX3700, EX3800, EX6000, EX6100, EX6100v2, EX6110, EX6120, EX6130, EX6150v1, EX6150v2, EX6200, EX6200v2, EX6400, EX7000, EX7300, EX8000, R6100, R6250, R6300v2, R6400,R7800, R8900, R9000, WN2000RPTv3, WN3000RPv3, WN3100RPv2
26.01.2018: dodano PR2000 do listy naprawionych produktów