https://www.informationsecurity.com.tw/seminar/2024_Business/
https://www.informationsecurity.com.tw/seminar/2024_Business/

新聞

Netgear Nighthawk R6700v3 存有六個尚未修復的漏洞

2022 / 01 / 04
編輯部
Netgear Nighthawk R6700v3 存有六個尚未修復的漏洞
資安廠商 Tenable 旗下的資安研究人員,近期發現 Netgear 一款相當暢銷的路由器 Netgear Nighthawk R6700v3 存有六個尚未修復的漏洞,可能導致駭侵者完全控制路由器。

這款路由器具有一些專為遊戲用途設計的功能,在市場上相當受歡迎;研究人員在其最新版本的韌體 1.0.4.120 中發現多達六個漏洞,分述如下:
  • CVE-2021-20173:存於該裝置的更新功能中,為認證後命令注入漏洞;
  • CVE-2021-20174:該裝置 web 介面的所有通訊均透過未加密的 http 進行,用戶登入資訊以明文傳送,可能遭駭侵者竊取;
  • CVE-2021-20175:SOAP 介面(port 5000)亦使用未加密的 http 傳輸資料,用戶登入資訊有被竊風險;
  • CVE-2021-23147:可透過 UART 連線在未經認證的情形下,以 root 權限執行指令;
  • CVE-2021-45732:透過硬寫入的加密常式進行設定操弄,可導致因資安理由而鎖住的設定值遭到竄改;
  • CVE-2021-45077:所有該裝置的用戶登入資訊,均以明文儲存於設定檔中。

另外,研究人員也發現,在這款 Netgear Nighthawk R6700v3 中使用的 jQuery 程式庫 1.4.2 版與 miniDLNA 伺服器版本,都是存有已知資安漏洞的舊版。

雖然 Netgear Nighthawk R6700v3 仍在原廠支援週期內,並不是已經停止支援的老舊機種,不過截至發稿為止,Netgear 尚未針對這些被發現的漏洞提供新版韌體。

資安專家呼籲這款路由器的用戶,應將管理密碼設定為強式密碼,並頻繁檢查原廠是否推出了新版韌體,以便儘速更新。

影響產品(版本):Netgear Nighthawk R6700v3 韌體版本 1.0.4.120 與較舊版本

本文轉載自TWCERT/CC。