CVE-2021-45527

Błąd sklasyfikowany jako CWE-120 (klasyczny buffer overflow bez odpowiedniej kontroli rozmiaru danych) pozwala uwierzytelnionemu atakującemu na przepełnienie bufora w pamięci urządzenia. Wektor ataku wskazuje na dostęp sieciowy z segmentu lokalnego (AV:A), nie jest wymagana interakcja użytkownika ani podwyższone uprawnienia ponad podstawowe uwierzytelnienie. Atak nie jest ograniczony do zakresu atakowanego komponentu (S:C), co oznacza możliwość wpływu na inne procesy lub zasoby systemowe.

Atakujący może uzyskać pełną poufność, integralność i dostępność zaatakowanego urządzenia — w praktyce oznacza to możliwość zdalnego wykonania kodu (RCE) i przejęcia kontroli nad routerem lub punktem dostępowym. Skompromitowane urządzenie brzegowe może posłużyć jako punkt wejścia do sieci wewnętrznej.

Należy niezwłocznie zaktualizować firmware do wersji wskazanych w powyższym wykazie (lub nowszych). Patche są dostępne za pośrednictwem oficjalnego Security Advisory NETGEAR (PSV-2020-0437): https://kb.netgear.com/000064493. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego wyłącznie do zaufanych hostów oraz segmentację sieci, aby zminimalizować ekspozycję na atakujących w segmencie lokalnym (AV:A).

Modele NETGEAR: D6220 < 1.0.0.68, D6400 < 1.0.0.102, D7000v2 < 1.0.0.66, D8500 < 1.0.3.58, DC112A < 1.0.0.54, EX7000 < 1.0.1.94, EX7500 < 1.0.0.72, R6250 < 1.0.4.48, R6300v2 < 1.0.4.52, R6400 < 1.0.1.70, R6400v2 < 1.0.4.102, R6700v3 < 1.0.4.102, R7000 < 1.0.11.116, R7100LG < 1.0.0.64, R7850 < 1.0.5.68, R7900 < 1.0.4.30, R7960P < 1.4.1.68, R8000 < 1.0.4.52, RAX200 < 1.0.2.88, RBS40V < 2.6.2.4, RS400 < 1.5.1.80, XR300 < 1.0.3.56, R7000P < 1.3.2.124, R8000P < 1.4.1.68, R8500 < 1.0.2.144, RAX80 < 1.0.3.102, R6900P < 1.3.2.124, R7900P < 1.4.1.68, R8300 < 1.0.2.144, RAX75 < 1.0.3.102, RBR750 < 3.2.17.12, RBR850 < 3.2.17.12, RBS750 < 3.2.17.12, RBS850 < 3.2.17.12, RBK752 < 3.2.17.12, RBK852 < 3.2.17.12.

Podatność została zidentyfikowana przez NETGEAR jako PSV-2020-0437, co wskazuje na pierwotne zgłoszenie w roku 2020, mimo publikacji CVE w grudniu 2021.