CVE-2021-45502

Authentication Bypass w urządzeniach NETGEAR WiFi Systems (CBR750, RBK/RBR/RBS 750/850)

CVSS 9.6v3.1pub. 2021-12-26upd. 2024-11-21

Wybrane urządzenia NETGEAR są podatne na obejście mechanizmu uwierzytelniania (authentication bypass). Podatność jest krytyczna — atakujący w zasięgu sieci może uzyskać nieautoryzowany dostęp bez podawania jakichkolwiek poświadczeń.

▸ Pokaż oryginał (EN)

Certain NETGEAR devices are affected by authentication bypass. This affects CBR750 before 4.6.3.6, RBK752 before 3.2.17.12, RBK752 before 3.2.17.12, RBR750 before 3.2.17.12, RBS750 before 3.2.17.12, RBK852 before 3.2.17.12, RBR850 before 3.2.17.12, and RBS850 before 3.2.17.12.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji mechanizmu uwierzytelniania w oprogramowaniu firmware dotkniętych urządzeń NETGEAR. Atakujący znajdujący się w tym samym segmencie sieci (wektor sieciowy: Adjacent) może ominąć kontrolę dostępu bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Szczegółowy mechanizm techniczny nie został ujawniony w publicznym opisie producenta.

Skutki

Atakujący może uzyskać pełny, nieautoryzowany dostęp do urządzenia, potencjalnie prowadząc do kompromitacji poufności, integralności oraz dostępności systemu i sieci. Wysoki wynik CVSS (9.6) oraz zakres wpływu wykraczający poza samo urządzenie (Scope: Changed) wskazują na ryzyko przejęcia kontroli nad całą siecią domową lub biurową.

Mitygacja

Należy niezwłocznie zaktualizować firmware urządzeń do wersji: CBR750 do 4.6.3.6 lub nowszej, RBK752 / RBR750 / RBS750 / RBK852 / RBR850 / RBS850 do 3.2.17.12 lub nowszej. Szczegółowe instrukcje dostępne są w oficjalnym biuletynie bezpieczeństwa NETGEAR: https://kb.netgear.com/000064126/

Kogo dotyczy

NETGEAR CBR750 (firmware przed wersją 4.6.3.6), NETGEAR RBK752, RBR750, RBS750, RBK852, RBR850, RBS850 (firmware przed wersją 3.2.17.12)

Uwagi

Podatność zidentyfikowana wewnętrznie przez NETGEAR pod numerem PSV-2020-0473. Pomimo braku wpisu w CISA KEV, krytyczny wynik CVSS 9.6 oraz brak wymagań dotyczących uwierzytelnienia uzasadniają pilne wdrożenie aktualizacji.