https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

新聞

Netgear 修復三個嚴重資安漏洞,影響 20 種智慧型網路交換器

2021 / 09 / 13
編輯部
Netgear 修復三個嚴重資安漏洞,影響 20 種智慧型網路交換器
Netgear 日前推出韌體更新,修復影響其多達二十種智慧型交換器的三個嚴重資安漏洞;駭侵者可利用這些漏洞,完全控制交換器設備。

這三個將獲修復的漏洞,分別由資安研究人員命名為 The Demon's Cries、Draconian Fear、Seventh Inferno,目前暫無 CVE 編號,但都可能造成這些智慧型交換器的控制權限遭駭侵者取得,進而針對企業內網發動進一步攻擊行動。

Demon's Cries 漏洞的 CVSS 分數高達 8.8 分(滿分為 10 分),據資安專家指出,該漏洞可讓駭侵者跳過登入驗證程序,駭侵者可藉以取得管理者的登入資訊,並且完全掌控受害的交換器設備。

資安研究人員指出,該漏洞存於 Netgear Switch Discover Protocol 之內;研究人員發現一種可以跳過其登入驗證程序的方法,不過駭侵者必須先進入企業內部網路,才能利用這個漏洞。

Draconian Fear 的 CVSS 分數為 7.4 分,駭侵者如果與管理者使用同一個 IP,或假造一個和管理者相同的登入用 IP,即可攔截 Netgear 交換器 web 界面傳送的資訊封包,並且利用其來源檢查的漏洞,進入管理介面之中。

研究人員尚未針對第三個漏洞 Seventh Inferno 推出詳細分析,不過 Netgear 已針對旗下二十種受到這批漏洞影響的機種,推出更新版本的韌體;使用 Netgear 交換器的用戶,應依照 Netgear 資安通報的說明,檢查交換器的型號與版本是否列入受影響名單之列,並且儘速更新。
  • 影響產品/版本:參見 Netgear 資安通報
  • 解決方案:更新至最新版本韌體

​本文轉載自TWCERT/CC。