СВЯЗАННЫЙ КОД CVE: CVE-2022-27643
ID СВЯЗАННОГО ZDI: ZDI-CAN-15692
Впервые опубликован: 2022-03-17
NETGEAR знает об уязвимости, связанной с переполнением буфера перед аутентификацией на нескольких продуктах. Для использования этой уязвимости злоумышленнику требуется пароль WiFi или подключение Ethernet к роутеру.
Корпорация NETGEAR выпустила исправления для этой уязвимости для следующих моделей продуктов:
Модемы-роутеры DSL
- D6220 исправлен во встроенном по версии 1.0.0.80
- В версии встроенного по 1.0.0.114 исправлен код D6400
- D7000v2 исправлен в версии встроенного по 1.0.0.80
Удлинители
- В версии встроенного по 1.0.0.96 исправлен EX3700
- В камере EX3800 исправлено встроенное по версии 1.0.0.96
- EX6120 исправлен в версии встроенного по 1.0.0.68
- В версии встроенного по 1.0.0.48 исправлен EX6130
Стационарная беспроводная связь
- Исправлено в версии встроенного по 1.0.0.76 для R7100LG
Роутеры
- Версия R6400 исправлена во встроенном по 1.0.1.78
- Версия R6400 v2 исправлена во встроенном по версии 1.0.4.126
- Исправлен код R6700v3 в версии встроенного по 1.0.4.126
- Исправлен код R6900P во встроенном по версии 1.3.3.148
- Исправлено в версии встроенного по 1.0.11.134 для R7000
- В микропрограмме версии 1.3.3.148 исправлен код R7000P
- Исправлено в версии встроенного по 1.0.5.84 для R7850
- Исправлено в версии встроенного по 1.0.4.84 для R8000
- Исправлено в версии встроенного по 1.0.2.158 для R8500
- В микропрограмме RS400 версии 1.5.1.86 исправлено
- Микрокод WNDR3400v3 исправлен в версии 1.0.1.44
- WNR3500Lv2 исправлено в версии встроенного по 1.2.0.72
- XR300 исправлен в версии встроенного по 1.0.3.72
Беспроводная сеть
- DC112A исправлено во встроенном по версии 1.0.0.64
Компания NETGEAR настоятельно рекомендует как можно скорее загрузить новейшую версию микрокода.
Загрузка последней версии микрокода для вашего продукта NETGEAR:
- Перейдите на сайт службы технической поддержки NETGEAR.
- Начните вводить номер модели в поле поиска, затем выберите вашу модель из раскрывающегося меню.
Если раскрывающееся меню не отображается, проверьте, что номер модели введен правильно, или выберите категорию продукта для перехода к нужной модели. - Нажмите Загрузки.
- В области Текущие версии выберите ссылку для загрузки, начинающуюся со слова Микрокод.
- Нажмите Загрузка.
- Установите новый микрокод в соответствии с инструкциями в руководстве пользователя для продукта, примечаниях к выпуску микрокода или на странице поддержки продукта.
Корпорация NETGEAR не будет выпускать исправления для этой уязвимости для следующих уязвимых продуктов, так как они находятся вне периода поддержки безопасности:
- DGN2200v4
- V6510-1FXAUS
Отказ от ответственности
Настоящий документ предоставляется 'как есть' и не подразумевает никаких гарантий или заверений, в том числе гарантий товаропригодности или соответствия определенной цели. Использование вами информации из данного документа или материалов, на которые представлены ссылки в данном документе, осуществляется исключительно на ваш собственный риск. Компания NETGEAR сохраняет за собой право изменять или обновлять настоящий документ в любое время. Компания NETGEAR будет обновлять данный документ по мере поступления новой информации.
Уязвимость, связанная с переполнением буфера до аутентификации, будет сохраняться до тех пор, пока вы не выполните все рекомендуемые действия. Компания NETGEAR не несет ответственности за любые последствия, которых можно было бы избежать, соблюдая приведенные в данном уведомлении рекомендации.
Благодарности
Стивен Фьюер (Stephen Fewer) из компании Relyze Software Limited (www.relyze.com), сотрудничающего с компанией Trend Micro в рамках инициативы Zero Day Initiative
Общая система оценки уязвимостей (CVSS)
Рейтинг CVSS: Высокий
Оценка CVSS: 7.3
ВЕКТОР CVSS: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L.
Рекомендации по обновлению встроенного по
Рекомендуется поддерживать устройства NETGEAR в актуальном состоянии с помощью последней версии микропрограммы. Обновления встроенного по содержат исправления безопасности, исправления ошибок и новые функции для ваших продуктов NETGEAR.
Если ваше устройство поддерживается одним из наших приложений, использование приложения — это самый простой способ обновления встроенного по:
- Продукты Orbi: Приложение NETGEAR Orbi
- WiFi-роутеры NETGEAR: Приложение NETGEAR Nighthawk
- Некоторые бизнес-продукты NETGEAR: Приложение NETGEAR Insight (обновления микропрограммы через приложение доступны только для подписчиков Insight)
Если ваше устройство не поддерживается одним из наших приложений, вы всегда можете обновить встроенное по вручную, следуя инструкциям в руководстве пользователя, примечаниях к выпуску встроенного по или на странице поддержки продукта. Для получения дополнительной информации см. где можно найти информацию о моем продукте NETGEAR?.
Контактная информация
Мы ценим, что вы сообщаете нам о проблемах безопасности в наших продуктах. Компания NETGEAR постоянно отслеживает появление известных и неизвестных угроз. Основополагающий принцип работы технической поддержки NETGEAR — это решение проблем безопасности еще до их возникновения.
Миссия компании NETGEAR — это лидерство в инновациях в сфере подключения устройств к Интернету. Чтобы выполнить свою миссию, мы стремимся завоевать и сохранить доверие тех, кто использует продукты NETGEAR.
Чтобы сообщить об уязвимости системы безопасности, перейдите по ссылке http://www.netgear.com/about/security/.
Если вы являетесь клиентом компании NETGEAR и у вас возникли проблемы безопасности, вы можете обратиться в службу поддержки NETGEAR по адресу techsupport.security@netgear.com.
Журнал изменений
2022-03-17: Опубликованные рекомендации
2022-03-22: Обновлен идентификатор CVE
2022-03-22: ДОБАВЛЕНЫ EX3700, EX3800, EX6120, EX6130, R7850, R8000