Первая публикация: 09 ноября 2023 г.
Компании NETGEAR известно об уязвимости системы безопасности, связанной с неправильной схемой подписи микрокода в RAX30. Для использования этой уязвимости злоумышленнику необходимо иметь пароль WiFi или подключение Ethernet к устройству в сети, а также имя пользователя и пароль администратора сети. Это означает, что можно обновить микрокод роутера с помощью микрокода, отличного от NETGEAR, что может сделать сеть более уязвимой для атак. Из-за аппаратных ограничений мы не можем решить эту проблему.
Для защиты устройства не используйте пользовательскую микропрограмму. Обновление микропрограммы на роутере должно выполняться только через приложение Nighthawk или интерфейс веб-браузера. При обновлении микрокода устройства вручную загрузите и установите только официально выпущенную версию микрокода для устройства с веб-сайта поддержки NETGEAR .
Отказ от ответственности
Настоящий документ предоставляется 'как есть' и не подразумевает никаких гарантий или заверений, в том числе гарантий товаропригодности или соответствия определенной цели. Использование вами информации из данного документа или материалов, на которые представлены ссылки в данном документе, осуществляется исключительно на ваш собственный риск. Компания NETGEAR сохраняет за собой право изменять или обновлять настоящий документ в любое время. Компания NETGEAR будет обновлять данный документ по мере поступления новой информации.
Уязвимость, связанная с неправильной схемой подписи встроенного по, сохраняется, если вы не выполните все рекомендуемые действия. Компания NETGEAR не несет ответственности за любые последствия, которых можно было бы избежать, соблюдая приведенные в данном уведомлении рекомендации.
Благодарности
Иван Арсе из группы отчетов об уязвимости Quarkslab
Общая система оценки уязвимостей (CVSS)
Уровень опасности по CVSS: Средняя
оценка CVSS: 6,7
вектор CVSS: CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Рекомендации по обновлению микропрограммы
Мы рекомендуем регулярно обновлять микрокод на устройствах NETGEAR. Обновления встроенного по содержат исправления безопасности, исправления ошибок и новые функции для продуктов NETGEAR.
Если ваше устройство поддерживается одним из наших приложений, использование приложения — самый простой способ обновления встроенного по:
- Продукты Orbi: Приложение NETGEAR Orbi.
- WiFi-роутеры NETGEAR: Приложение NETGEAR Nighthawk
- Некоторые продукты NETGEAR для бизнеса: Приложение Netgear insight (обновления встроенного по через приложение доступны только для абонентов Insight)
Если ваше устройство не поддерживается одним из наших приложений, вы всегда можете обновить встроенное по вручную, следуя инструкциям в руководстве пользователя устройства, примечаниях к выпуску микропрограммы или на странице поддержки устройства. Для получения дополнительной информации см. Раздел где можно найти информацию о моем продукте NETGEAR?.. ..
Контактная информация
Мы ценим, что вы сообщаете нам о проблемах безопасности в наших продуктах. Компания NETGEAR постоянно отслеживает появление известных и неизвестных угроз. Основополагающий принцип работы технической поддержки NETGEAR — это решение проблем безопасности еще до их возникновения.
Миссия компании NETGEAR — это лидерство в инновациях в сфере подключения устройств к Интернету. Чтобы выполнить свою миссию, мы стремимся завоевать и сохранить доверие тех, кто использует продукты NETGEAR.
Чтобы сообщить об уязвимости системы безопасности, перейдите по ссылке http://www.netgear.com/about/security/.
Если вы являетесь клиентом компании NETGEAR и у вас возникли проблемы безопасности, вы можете обратиться в службу поддержки NETGEAR по адресу techsupport.security@netgear.com.
Журнал изменений
09.11.2023: рекомендации опубликованы.