BDU:2022-01175 (CVE-2021-45556) — уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR GS108Tv2 GS110TPP

По данным БДУ ФСТЭК России, по состоянию на 09.03.2022.

Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR GS108Tv2, GS110TPP, GS110TPv2, GS110TPv3, GS308T, GS310TP, GS724TPP, GS724TPv2, GS728TPPv2, GS728TPv2, GS752TPP, GS752TPv2, MS510TXM и MS510TXUP связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольную команду

Кого касается и что делать

• Уязвимое ПО: GS110TPP (NETGEAR) — версии до 7.0.7.2; MS510TXUP (NETGEAR) — версии до 1.0.4.2; MS510TXM (NETGEAR) — версии до 1.0.4.2; и ещё 11 позиций
• Что делать: уязвимость устранена производителем — применить исправления: kb.netgear.com

Сведения об уязвимости

Идентификаторы	BDU:2022-01175 · CVE-2021-45556
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 8.7)
Вектор CVSS 3.1	AV:A/AC:H/PR:H/UI:N/S:C/C:L/I:H/A:H атака из смежной сети, высокая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность, высокое влияние на целостность и доступность
Наименование ФСТЭК	Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR GS108Tv2, GS110TPP, GS110TPv2, GS110TPv3, GS308T, GS310TP, GS724TPP, GS724TPv2, GS728TPPv2, GS728TPv2, GS752TPP, GS752TPv2, MS510TXM и MS510TXUP, связанная с отсутствием мер по очистке входных данных, позволяющая нарушителю выполнить произвольную команду
Даты	Опубликована: 09.03.2022 · Обновлена ФСТЭК: 09.03.2022 · Выявлена: 22.12.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

• GS110TPP (NETGEAR) — до 7.0.7.2 · ПО сетевого программно-аппаратного средства
• MS510TXUP (NETGEAR) — до 1.0.4.2 · ПО сетевого программно-аппаратного средства
• MS510TXM (NETGEAR) — до 1.0.4.2 · ПО сетевого программно-аппаратного средства
• GS752TPv2 (NETGEAR) — до 6.0.8.2 · ПО сетевого программно-аппаратного средства
• GS752TPP (NETGEAR) — до 6.0.8.2 · ПО сетевого программно-аппаратного средства
• GS728TPv2 (NETGEAR) — до 6.0.8.2 · ПО сетевого программно-аппаратного средства
• GS728TPPv2 (NETGEAR) — до 6.0.8.2 · ПО сетевого программно-аппаратного средства
• GS724TPv2 (NETGEAR) — до 2.0.6.3 · ПО сетевого программно-аппаратного средства
• GS724TPP (NETGEAR) — до 2.0.6.3 · ПО сетевого программно-аппаратного средства
• GS310TP (NETGEAR) — до 1.0.3.2 · ПО сетевого программно-аппаратного средства
• GS308T (NETGEAR) — до 1.0.3.2 · ПО сетевого программно-аппаратного средства
• GS108Tv2 (NETGEAR) — до 5.4.2.36 · ПО сетевого программно-аппаратного средства
• GS110TPv2 (NETGEAR) — до 5.4.2.36. · ПО сетевого программно-аппаратного средства
• GS110TPv3 (NETGEAR) — до 7.0.7.2 · ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций производителя
• kb.netgear.com/000064534/Security-Advisory-for-Post-Authe…

Источники

• nvd.nist.gov/vuln/detail/CVE-2021-45556
• kb.netgear.com/000064534/Security-Advisory-for-Post-Authe…