Netgear 日前推出韌體更新，修復影響其多達二十種智慧型交換器的三個嚴重資安漏洞；駭侵者可利用這些漏洞，完全控制交換器設備。
這三個將獲修復的漏洞，分別由資安研究人員命名為 The Demon's Cries、Draconian Fear、Seventh Inferno，目前暫無 CVE 編號，但都可能造成這些智慧型交換器的控制權限遭駭侵者取得，進而針對企業內網發動進一步攻擊行動。
Demon's Cries 漏洞的 CVSS 分數高達 8.8 分（滿分為 10 分），據資安專家指出，該漏洞可讓駭侵者跳過登入驗證程序，駭侵者可藉以取得管理者的登入資訊，並且完全掌控受害的交換器設備。
資安研究人員指出，該漏洞存於 Netgear Switch Discover Protocol 之內；研究人員發現一種可以跳過其登入驗證程序的方法，不過駭侵者必須先進入企業內部網路，才能利用這個漏洞。
Draconian Fear 的 CVSS 分數為 7.4 分，駭侵者如果與管理者使用同一個 IP，或假造一個和管理者相同的登入用 IP，即可攔截 Netgear 交換器 web 界面傳送的資訊封包，並且利用其來源檢查的漏洞，進入管理介面之中。
研究人員尚未針對第三個漏洞 Seventh Inferno 推出詳細分析，不過 Netgear 已針對旗下二十種受到這批漏洞影響的機種，推出更新版本的韌體；使用 Netgear 交換器的用戶，應依照 Netgear 資安通報的說明，檢查交換器的型號與版本是否列入受影響名單之列，並且儘速更新。
- 影響產品/版本：參見 Netgear 資安通報
- 解決方案：更新至最新版本韌體
本文轉載自TWCERT/CC。