CVE-2018-21162

Podatność sklasyfikowana jako CWE-78 (Improper Neutralization of Special Elements used in an OS Command) umożliwia atakującemu przesłanie specjalnie spreparowanego żądania sieciowego, które zawiera złośliwe polecenia systemowe. Urządzenie nie weryfikuje tożsamości nadawcy (brak uwierzytelnienia) ani nie filtruje odpowiednio danych wejściowych, co skutkuje wykonaniem przesłanych poleceń z uprawnieniami systemu operacyjnego urządzenia. Atak jest możliwy zdalnie przez sieć bez żadnej interakcji ze strony użytkownika.

Atakujący może uzyskać pełną kontrolę nad urządzeniem, w tym odczytywać i modyfikować konfigurację, przechwytywać ruch sieciowy, instalować złośliwe oprogramowanie (backdoor) oraz wykorzystywać urządzenie jako punkt wejścia do sieci wewnętrznej (lateral movement).

Należy niezwłocznie zaktualizować firmware urządzeń do wersji wskazanych powyżej lub nowszych. Patche dostępne są w portalu wsparcia NETGEAR pod adresem: https://kb.netgear.com/000059147. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu zarządzania urządzeń wyłącznie z zaufanych adresów IP oraz wyłączenie zdalnego zarządzania przez WAN.

NETGEAR D6400 przed wersją 1.0.0.78, EX6200 przed 1.0.3.86, EX7000 przed 1.0.0.64, R6250 przed 1.0.4.8, R6300v2 przed 1.0.4.6, R6400 przed 1.0.1.12, R6700 przed 1.0.1.16, R7000 przed 1.0.7.10, R7100LG przed 1.0.0.42, R7300DST przed 1.0.0.44, R7900 przed 1.0.1.12, R8000 przed 1.0.3.36, R8300 przed 1.0.2.74, R8500 przed 1.0.2.74, WNDR3400v3 przed 1.0.1.14, WNR3500Lv2 przed 1.2.0.48

Podatność powiązana z wewnętrznym identyfikatorem producenta PSV-2016-0074, co wskazuje, że problem został pierwotnie zgłoszony w roku 2016, a oficjalne CVE opublikowano dopiero w 2020 roku.