Данный выпуск рекомендаций безопасности относится к следующим уязвимостям CVE:
- CVE-2017-5715
- CVE-2017-5753
- CVE-2017-5754
Компании NETGEAR стало известно о двух уязвимостях системы безопасности, связанных с возможностью потенциального исполнения кода, под названием Spectre и Meltdown (далее «Уязвимости») в процессорах нескольких производителей, которые используются в системах хранения данных NETGEAR ReadyNAS, ReadyDATA, а также в продуктах для домашнего подключения к Интернету. Эти уязвимости могут использоваться только тем злоумышленником, у которого есть возможность загружать и выполнять вредоносный или скомпрометированный код на продукте. Для этого на продуктах ReadyNAS и ReadyDATA должно быть включено предоставление дополнительных прав доступа, которые отключены по умолчанию.
Продукты для домашнего подключения к Интернету включают в себя роутеры, шлюзы, мобильные точки доступа и повторители. У компании NETGEAR нет сведений о способах использования Уязвимостей на продуктах для домашнего подключения к Интернету. Мы до сих пор продолжаем заниматься оценкой последствий Уязвимостей с привлечением наших поставщиков наборов микросхем. Владельцам продуктов для домашнего подключения к Интернету пока не нужно предпринимать никаких мер.
NETGEAR не считает, что эти Уязвимости представляют собой существенную угрозу, требующую отключения или удаления продуктов NETGEAR из вашей сети, однако мы настоятельно рекомендуем владельцам систем ReadyNAS и ReadyDATA следовать инструкциям, перечисленным в разделе «Временное решение» настоящих рекомендаций.
NETGEAR планирует выпустить тщательно протестированные обновления микрокода, которые исправят или устранят эти Уязвимости во всех продуктах с действующей поддержкой обновлений безопасности. В настоящее время компания NETGEAR работает над созданием и тестированием обновления микрокода ReadyNAS.
Компания NETGEAR подтверждает, что следующие продукты уязвимы для атаки:
ReadyNAS
- RN12G
- RN12P
- RN12S
- RN12T
- RN202
- RN204
- RN212
- RN214
- RN3130
- RN3138
- RN3220
- RN422
- RN4220
- RN424
- RN426
- RN428
- RN524X
- RN526X
- RN528X
- RN626X
- RN628X
- RNDP6000-200
- RNRP4000
- RR2304
- RR2312
- RR3312
- RR4312X
- RR4360X
ReadyDATA
- RD5200
- RDD516
Для следующих продуктов истек период поддержки обновлений безопасности:
- RD5200
- RDD516
- RN12G
- RN12P
- RN12S
- RN12T
- RNDP6000
- RNRP4000
Компания NETGEAR обновит данную рекомендацию, как только появится дополнительная информация.
Временное решение
NETGEAR рекомендует применять следующее временное решение для систем хранения ReadyNAS или ReadyDATA до тех пор, пока не будут выпущены обновления микрокода вашего продукта:
- Отключите протокол SSH (Secure Socket Shell) в системе ReadyNAS или ReadyDATA.
По умолчанию протокол SSH отключен. Для получения дополнительной информации см. ReadyNAS OS 6: поддержка доступа по протоколу SSH и справочник по настройке либо руководство по программному обеспечению для вашего продукта. - Устанавливайте или запускайте приложения в системе ReadyNAS или ReadyDATA только из надежных, заслуживающих доверия источников.
Отказ от ответственности
Уязвимости будут сохраняться до тех пор, пока вы не выполните все рекомендуемые действия. Компания NETGEAR не несет ответственности за любые последствия, которых можно было бы избежать, соблюдая приведенные в данном уведомлении рекомендации.
Common Vulnerability Scoring System Vector
Уровень опасности по CVSS v3: средний
Оценка по CVSS v3: 5.6
Вектор: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N
Контакты
Мы ценим, что вы сообщаете нам о проблемах безопасности в наших продуктах. Компания NETGEAR постоянно отслеживает появление известных и неизвестных угроз. Основополагающий принцип работы технической поддержки NETGEAR — это решение проблем безопасности еще до их возникновения.
Миссия компании NETGEAR — это лидерство в инновациях в сфере подключения устройств к Интернету. Чтобы выполнить свою миссию, мы стремимся завоевать и сохранить доверие тех, кто использует продукты NETGEAR.
Чтобы сообщить об уязвимости системы безопасности, перейдите по ссылке http://www.netgear.com/about/security/.
Если вы являетесь клиентом компании NETGEAR и у вас возникли проблемы безопасности, вы можете обратиться в службу поддержки NETGEAR по адресу techsupport.security@netgear.com.
Журнал изменений
07.01.2018: рекомендации опубликованы
17.01.2018:
- Добавлена информация о влиянии Уязвимостей на продукты для домашнего подключения к Интернету
- В список продуктов, подверженных уязвимости, добавлена модель RNRP4000
- Добавлен список подверженных данной уязвимости продуктов, для которой истек период поддержки обновлений безопасности