BDU:2022-01098 (CVE-2021-45548) — уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR D7800 DM200
По данным БДУ ФСТЭК России, по состоянию на 04.03.2022.
Высокий — 8.8/10 Устранена
Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR D7800, DM200, EX2700, EX6150v2, EX6200v2, EX6250, EX6400, EX6400v2, EX6410, EX6420, EX7300, EX7300v2, EX7320, R7500v2, R7800, R8900, R9000, RAX120, WN3000RPv2, WN3000RPv3, WNR2000v5, XR500, RBK20, RBR20, RBS20, RBK40, RBR40, RBS40 связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольную команду
Кого касается и что делать
- Уязвимое ПО: R9000 (NETGEAR) — версии до 1.0.5.2; WN3000RPv2 (NETGEAR) — версии до 1.0.0.78; D7800 (NETGEAR) — версии до 1.0.1.60; и ещё 25 позиций
- Что делать: уязвимость устранена производителем — применить исправления: kb.netgear.com
Сведения об уязвимости
| Идентификаторы | BDU:2022-01098 · CVE-2021-45548 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR D7800, DM200, EX2700, EX6150v2, EX6200v2, EX6250, EX6400, EX6400v2, EX6410, EX6420, EX7300, EX7300v2, EX7320, R7500v2, R7800, R8900, R9000, RAX120, WN3000RPv2, WN3000RPv3, WNR2000v5, XR500, RBK20, RBR20, RBS20, RBK40, RBR40, RBS40, связанная с отсутствием мер по очистке входных данных, позволяющая нарушителю выполнить произвольную команду |
| Даты | Опубликована: 04.03.2022 · Обновлена ФСТЭК: 04.03.2022 · Выявлена: 20.12.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- R9000 (NETGEAR) — до 1.0.5.2 · ПО сетевого программно-аппаратного средства
- WN3000RPv2 (NETGEAR) — до 1.0.0.78 · ПО сетевого программно-аппаратного средства
- D7800 (NETGEAR) — до 1.0.1.60 · ПО сетевого программно-аппаратного средства
- DM200 (NETGEAR) — до 1.0.0.66 · ПО сетевого программно-аппаратного средства
- EX2700 (NETGEAR) — до 1.0.1.56 · ПО сетевого программно-аппаратного средства
- EX6150v2 (NETGEAR) — до 1.0.1.86 · ПО сетевого программно-аппаратного средства
- EX6200v2 (NETGEAR) — до 1.0.1.86 · ПО сетевого программно-аппаратного средства
- EX6250 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- EX6400 (NETGEAR) — до 1.0.2.144 · ПО сетевого программно-аппаратного средства
- EX6400v2 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- EX6410 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- EX6420 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- EX7300 (NETGEAR) — до 1.0.2.144 · ПО сетевого программно-аппаратного средства
- EX7300v2 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- EX7320 (NETGEAR) — до 1.0.0.128 · ПО сетевого программно-аппаратного средства
- R7500v2 (NETGEAR) — до 1.0.3.46 · ПО сетевого программно-аппаратного средства
- R7800 (NETGEAR) — до 1.0.2.74 · ПО сетевого программно-аппаратного средства
- R8900 (NETGEAR) — до 1.0.5.26 · ПО сетевого программно-аппаратного средства
- RAX120 (NETGEAR) — до 1.0.1.128 · ПО сетевого программно-аппаратного средства
- WN3000RPv3 (NETGEAR) — до 1.0.2.80 · ПО сетевого программно-аппаратного средства
- WNR2000v5 (NETGEAR) — до 1.0.0.74 · ПО сетевого программно-аппаратного средства
- XR500 (NETGEAR) — до 2.3.2.66 · ПО сетевого программно-аппаратного средства
- RBK20 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
- RBR20 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
- RBS20 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
- RBK40 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
- RBR40 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
- RBS40 (NETGEAR) — до 2.7.3.22 · ПО сетевого программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций производителя
- kb.netgear.com/000064450/Security-Advisory-for-Post-Authe…
