ID СВЯЗАННОГО ZDI: ZDI-CAN-10754
Компания NETGEAR выпустила исправления для системы безопасности в отношении уязвимости процедуры аутентификации на следующих моделях:
- R6020 с версиями встроенного по до 1.0.0.44
- R6080, с версиями встроенного по до 1.0.0.44
- R6120, с версиями встроенного по до 1.0.0.70
- R6220, с версиями встроенного по до 1.1.0.100
- R6230, с версиями встроенного по до 1.1.0.100
- R6260, с версиями встроенного по до 1.1.0.76
- R6330, с версиями встроенного по до 1.1.0.76
- R6350 с версиями встроенного по до 1.1.0.76
- R6850 с версиями встроенного по до 1.1.0.76
Компания NETGEAR настоятельно рекомендует как можно скорее загрузить новейшую версию микрокода.
Загрузка последней версии микрокода для вашего продукта NETGEAR:
- Перейдите на сайт службы технической поддержки NETGEAR.
- Начните вводить номер модели в поле поиска, затем выберите вашу модель из раскрывающегося меню.
Если раскрывающееся меню не отображается, проверьте, что номер модели введен правильно, или выберите категорию продукта для перехода к нужной модели. - Нажмите Загрузки.
- В области Текущие версии выберите ссылку для загрузки, начинающуюся со слова Микрокод.
- Нажмите Загрузка.
- Установите новый микрокод в соответствии с инструкциями в руководстве пользователя для продукта, примечаниях к выпуску микрокода или на странице поддержки продукта.
Следующие модели продуктов также подвержены уязвимости обхода проверки подлинности, но не относятся к периоду поддержки системы безопасности:
- JNR3210
- WNR2020
Если ваш продукт находится за пределами периода поддержки безопасности, мы рекомендуем выполнить процедуру обхода, описанную в этом выпуске советов по безопасности. Мы также рекомендуем следовать указаниям Агентства США по кибербезопасности и инфраструктурной безопасности (CISA): «[CISA] рекомендует пользователям и администраторам обновить микропрограмму до последней версии и заменить устройства, которые больше не поддерживаются патчами безопасности».
Временное решение
Отключение функции удаленного управления на веб-интерфейсе пользователя маршрутизатора значительно снижает риск возникновения этих уязвимостей. По умолчанию функция удаленного управления на маршрутизаторе или веб-интерфейсе пользователя шлюза отключена. Если удаленное управление не включено, для отключения удаленного управления не требуется предпринимать никаких действий.
Инструкции см. в разделе как отключить удаленное управление на маршрутизаторе или шлюзе NETGEAR?.
Отказ от ответственности
Настоящий документ предоставляется 'как есть' и не подразумевает никаких гарантий или заверений, в том числе гарантий товаропригодности или соответствия определенной цели. Использование вами информации из данного документа или материалов, на которые представлены ссылки в данном документе, осуществляется исключительно на ваш собственный риск. Компания NETGEAR сохраняет за собой право изменять или обновлять настоящий документ в любое время. Компания NETGEAR будет обновлять данный документ по мере поступления новой информации.
Уязвимость, связанная с процедурой аутентификации, будет сохраняться до тех пор, пока вы не выполните все рекомендуемые действия. Компания NETGEAR не несет ответственности за любые последствия, которых можно было бы избежать, соблюдая приведенные в данном уведомлении рекомендации.
Благодарности
Анонимная работа с Trend Micro в рамках инициативы Zero Day Initiative
Общая система оценки уязвимостей (CVSS)
CVSS v3.1 Рейтинг: Средний
CVSS v3.1 Оценка: 6.5
ВЕКТОР: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.
Рекомендации по обновлению встроенного по
Рекомендуется поддерживать устройства NETGEAR в актуальном состоянии с помощью последней версии микропрограммы. Обновления встроенного по содержат исправления безопасности, исправления ошибок и новые функции для ваших продуктов NETGEAR.
Если ваше устройство поддерживается одним из наших приложений, использование приложения — это самый простой способ обновления встроенного по:
- Продукты Orbi: Приложение NETGEAR Orbi
- Некоторые продукты Nighthawk: Приложение NETGEAR Nighthawk
- Некоторые продукты NETGEAR для бизнеса: Приложение NETGEAR Insight (обновления микропрограммы через приложение доступны только для абонентов Insight)
Если ваше устройство не поддерживается одним из наших приложений, вы всегда можете обновить встроенное по вручную, следуя инструкциям в руководстве пользователя, примечаниях к выпуску встроенного по или на странице поддержки продукта. Для получения дополнительной информации см. где можно найти информацию о моем продукте NETGEAR?.
Контактная информация
Мы ценим, что вы сообщаете нам о проблемах безопасности в наших продуктах. Компания NETGEAR постоянно отслеживает появление известных и неизвестных угроз. Основополагающий принцип работы технической поддержки NETGEAR — это решение проблем безопасности еще до их возникновения.
Миссия компании NETGEAR — это лидерство в инновациях в сфере подключения устройств к Интернету. Чтобы выполнить свою миссию, мы стремимся завоевать и сохранить доверие тех, кто использует продукты NETGEAR.
Чтобы сообщить об уязвимости системы безопасности, перейдите по ссылке http://www.netgear.com/about/security/.
Если вы являетесь клиентом компании NETGEAR и у вас возникли проблемы безопасности, вы можете обратиться в службу поддержки NETGEAR по адресу techsupport.security@netgear.com.
Журнал изменений
2020-09-14:
- рекомендации опубликованы.
- Добавлено временное решение для моделей, не входящих в период поддержки безопасности