Рекомендации по безопасности для вертикального повышения уровня привилегий на некоторых маршрутизаторах, модемах-маршрутизаторах DSL и точках доступа, PSV-2021-0151 и PSV-2021-0170

СВЯЗАННЫЙ КОД CVE: CVE-2021-34978

ID СВЯЗАННОГО ZDI: ZDI-CAN-13511

Впервые опубликован: 2021-10-13

Компания NETGEAR выпустила исправления для системы безопасности в отношении уязвимости, приводящей к вертикальному повышению привилегий на следующей модели:

• AC2100, исправлено в версии встроенного по 1.2.0.88
• AC2400, исправлено во встроенном по версии 1.2.0.88
• AC2600, исправлено во встроенном по версии 1.2.0.88
• D7000, исправлен в версии встроенного по 1.0.1.82
• R6020, исправлено в версии встроенного по 1.0.0.52
• R6080, исправлено в версии встроенного по 1.0.0.52
• R6120, исправлено в версии встроенного по 1.0.0.80
• R6220, исправлено во встроенном по версии 1.1.0.110
• R6230, исправлено во встроенном по версии 1.1.0.110
• R6350, исправлено во встроенном по версии 1.1.0.84
• R6330, исправлено во встроенном по версии 1.1.0.84
• R6700v2, исправлено в версии встроенного по 1.2.0.88
• R6800, исправлено во встроенном по версии 1.2.0.88
• R6850, исправлено во встроенном по версии 1.1.0.84
• R6900v2, исправлено во встроенном по версии 1.2.0.88
• R7200, исправлено в версии встроенного по 1.2.0.88
• R7350, исправлено в версии встроенного по 1.2.0.88
• R7400, исправлено в версии встроенного по 1.2.0.88
• R7450, исправлено в версии встроенного по 1.2.0.88
• WAC124, исправлен в версии встроенного по 1.0.4.7

Компания NETGEAR настоятельно рекомендует как можно скорее загрузить новейшую версию микрокода.

Загрузка последней версии микрокода для вашего продукта NETGEAR:

1. Перейдите на сайт службы технической поддержки NETGEAR.
2. Начните вводить номер модели в поле поиска, затем выберите вашу модель из раскрывающегося меню.
   Если раскрывающееся меню не отображается, проверьте, что номер модели введен правильно, или выберите категорию продукта для перехода к нужной модели.
3. Нажмите Загрузки.
4. В области Текущие версии выберите ссылку для загрузки, начинающуюся со слова Микрокод.
5. Нажмите Загрузка.
6. (Дополнительно) Для просмотра примечаний к выпуску для данной версии микрокода нажмите пункт Примечания к выпуску.
7. Распакуйте новый микрокод в такое местоположение, в котором его легко будет найти, например, на рабочий стол.
8. Следуйте инструкциям по обновлению микрокода в руководстве пользователя вашего продукта (см. страницу поддержки продукта в разделе Руководства пользователя и документация).
   Примечание. Если в вашем устройстве нет руководства пользователя, найдите руководство по администрированию программного обеспечения, справочное руководство или руководство пользователя утилиты настройки.

Отказ от ответственности

Настоящий документ предоставляется 'как есть' и не подразумевает никаких гарантий или заверений, в том числе гарантий товаропригодности или соответствия определенной цели. Использование вами информации из данного документа или материалов, на которые представлены ссылки в данном документе, осуществляется исключительно на ваш собственный риск. Компания NETGEAR сохраняет за собой право изменять или обновлять настоящий документ в любое время. Компания NETGEAR будет обновлять данный документ по мере поступления новой информации.

Уязвимость, приводящая к вертикальному повышению привилегий, будет сохраняться до тех пор, пока вы не выполните все рекомендуемые действия. Компания NETGEAR не несет ответственности за любые последствия, которых можно было бы избежать, соблюдая приведенные в данном уведомлении рекомендации.

Благодарности

Шерман Чан Чжи Шен и Хоанг Тач Нгуен (d4rkn3ss) работают с инициативой Trend Micro Zero Day Initiative

Общая система оценки уязвимостей (CVSS)

Рейтинг: Средний

Результат: 6.8

Вектор: CVSS:3.0/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Рекомендации по обновлению встроенного по

Рекомендуется поддерживать устройства NETGEAR в актуальном состоянии с помощью последней версии микропрограммы. Обновления встроенного по содержат исправления безопасности, исправления ошибок и новые функции для ваших продуктов NETGEAR.

Если ваше устройство поддерживается одним из наших приложений, использование приложения — это самый простой способ обновления встроенного по:

• Продукты Orbi: Приложение NETGEAR Orbi
• WiFi-роутеры NETGEAR: Приложение NETGEAR Nighthawk
• Некоторые бизнес-продукты NETGEAR: Приложение NETGEAR Insight (обновления микропрограммы через приложение доступны только для подписчиков Insight)

Если ваше устройство не поддерживается одним из наших приложений, вы всегда можете обновить встроенное по вручную, следуя инструкциям в руководстве пользователя, примечаниях к выпуску встроенного по или на странице поддержки продукта. Для получения дополнительной информации см. где можно найти информацию о моем продукте NETGEAR?.

Контактная информация

Мы ценим, что вы сообщаете нам о проблемах безопасности в наших продуктах. Компания NETGEAR постоянно отслеживает появление известных и неизвестных угроз. Основополагающий принцип работы технической поддержки NETGEAR — это решение проблем безопасности еще до их возникновения.

Миссия компании NETGEAR — это лидерство в инновациях в сфере подключения устройств к Интернету. Чтобы выполнить свою миссию, мы стремимся завоевать и сохранить доверие тех, кто использует продукты NETGEAR.

Чтобы сообщить об уязвимости системы безопасности, посетите веб страницу https://bugcrowd.com/netgear.

Если вы являетесь клиентом компании NETGEAR и у вас возникли проблемы безопасности, вы можете обратиться в службу поддержки NETGEAR по адресу techsupport.security@netgear.com.

Для выяснения всех других вопросов посетите веб-страницу http://www.netgear.com/about/security/.

Журнал изменений

2021-10-13: Опубликованные рекомендации

2021-10-25:

• Обновлен идентификатор CVE
• Обновлены подтверждения