CVE-2021-45501

Luka polega na możliwości ominięcia mechanizmu uwierzytelnienia w oprogramowaniu firmware dotkniętych routerów NETGEAR. Atakujący zdalnie, bez żadnych poświadczeń i bez interakcji użytkownika, może uzyskać dostęp do funkcji lub zasobów normalnie wymagających autoryzacji. Szczegółowy mechanizm techniczny nie został ujawniony w publicznym opisie producenta.

Atakujący może uzyskać nieautoryzowany dostęp do panelu zarządzania lub wrażliwych funkcji urządzenia, co skutkuje naruszeniem poufności i integralności konfiguracji routera, a potencjalnie przejęciem pełnej kontroli nad urządzeniem sieciowym.

Należy zaktualizować firmware do wersji wskazanych przez producenta: AC2400, AC2600, R6260, R6330, R6350, R6700v2, R6800, R6850, R6900v2, R7200, R7350, R7400, R7450 — do wersji 1.1.0.84 lub nowszej; D7000 — do wersji 1.0.1.82 lub nowszej; R6020, R6080 — do wersji 1.0.0.52 lub nowszej; R6120 — do wersji 1.0.0.80 lub nowszej; R6220, R6230 — do wersji 1.1.0.110 lub nowszej. Szczegóły dostępne w oficjalnym security advisory NETGEAR (PSV-2021-0154). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie z zaufanych sieci lokalnych oraz wyłączenie zdalnego dostępu do panelu administracyjnego.

NETGEAR AC2400 przed wersją 1.1.0.84, AC2600 przed 1.1.0.84, D7000 przed 1.0.1.82, R6020 przed 1.0.0.52, R6080 przed 1.0.0.52, R6120 przed 1.0.0.80, R6220 przed 1.1.0.110, R6230 przed 1.1.0.110, R6260 przed 1.1.0.84, R6330 przed 1.1.0.84, R6350 przed 1.1.0.84, R6700v2 przed 1.1.0.84, R6800 przed 1.1.0.84, R6850 przed 1.1.0.84, R6900v2 przed 1.1.0.84, R7200 przed 1.1.0.84, R7350 przed 1.1.0.84, R7400 przed 1.1.0.84 oraz R7450 przed 1.1.0.84.

Podatność została zidentyfikowana przez NETGEAR jako PSV-2021-0154. Opublikowano ją 2021-12-26. Wektor ataku sieciowy (AV:N), brak wymagań uwierzytelnienia (PR:N) i brak interakcji użytkownika (UI:N) czynią tę podatność szczególnie atrakcyjną dla atakujących, mimo braku potwierdzenia aktywnego exploitowania.