CVE-2021-45506

Authentication Bypass w urządzeniach NETGEAR CBR750/RBK752/RBR750 i pokrewnych

CVSS 9.6v3.1pub. 2021-12-26upd. 2024-11-21

Wybrane urządzenia sieciowe NETGEAR są podatne na authentication bypass, umożliwiający nieautoryzowany dostęp bez podania poświadczeń. Podatność jest krytyczna ze względu na możliwość całkowitego przejęcia kontroli nad urządzeniem przez atakującego znajdującego się w sieci lokalnej.

▸ Pokaż oryginał (EN)

Certain NETGEAR devices are affected by authentication bypass. This affects CBR750 before 4.6.3.6, RBK752 before 3.2.17.12, RBR750 before 3.2.17.12, RBS750 before 3.2.17.12, RBK852 before 3.2.17.12, RBR850 before 3.2.17.12, and RBS850 before 3.2.17.12.

🤖 Analiza AI

Jak działa

Podatność polega na możliwości ominięcia mechanizmu uwierzytelniania w oprogramowaniu firmware urządzeń NETGEAR z serii CBR750, RBK752, RBR750, RBS750, RBK852, RBR850 oraz RBS850. Atakujący znajdujący się w tej samej sieci (wektor AV:A) może uzyskać dostęp do chronionych zasobów urządzenia bez konieczności posiadania ważnych poświadczeń. Brak wymagań co do uprawnień (PR:N) oraz interakcji użytkownika (UI:N) sprawia, że atak jest szczególnie łatwy do przeprowadzenia.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do panelu zarządzania urządzeniem, co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad urządzeniem, modyfikacji jego konfiguracji, podsłuchiwania ruchu sieciowego oraz naruszenia poufności, integralności i dostępności zasobów sieciowych.

Mitygacja

Należy zaktualizować firmware urządzeń do następujących wersji lub nowszych: CBR750 do wersji 4.6.3.6, RBK752/RBR750/RBS750/RBK852/RBR850/RBS850 do wersji 3.2.17.12. Patche oraz szczegółowe instrukcje aktualizacji są dostępne w oficjalnym biuletynie bezpieczeństwa NETGEAR (PSV-2020-0483) pod adresem: https://kb.netgear.com/000064130/

Kogo dotyczy

NETGEAR CBR750 przed wersją firmware 4.6.3.6; NETGEAR RBK752, RBR750, RBS750, RBK852, RBR850 oraz RBS850 przed wersją firmware 3.2.17.12

Uwagi

Podatność zidentyfikowana wewnętrznie przez NETGEAR i oznaczona numerem PSV-2020-0483. Wektor ataku sieciowego (AV:A) ogranicza zasięg do atakujących obecnych w tej samej sieci lokalnej lub segmencie sieciowym, co nieznacznie redukuje ryzyko w porównaniu do podatności dostępnych przez Internet.