Op de http-server die wordt gebruikt in Netgear SOHO-routers, , waarmee u uw code op afstand kunt uitvoeren zonder authenticatie met rootrechten en volledige controle over het apparaat kunt krijgen. Voor een aanval is het voldoende om een verzoek te sturen naar de netwerkpoort waarop de webinterface draait. Het probleem wordt veroorzaakt doordat de grootte van externe gegevens niet wordt gecontroleerd voordat deze naar een buffer met een vaste grootte worden gekopieerd. De kwetsbaarheid is bevestigd in verschillende modellen Netgear-routers, waarvan de firmware gebruik maakt van het typische kwetsbare httpd-proces.
Omdat de firmware bij het werken met de stapel geen beveiligingsmechanismen gebruikte, zoals installeren , erin geslaagd een stabiele werking voor te bereiden , dat een omgekeerde shell lanceert met root-toegang op poort 8888. De exploit is aangepast om 758 gevonden Netgear-firmware-images aan te vallen, maar is tot nu toe handmatig getest op 28 apparaten. Er is met name bevestigd dat de exploit in verschillende modelvarianten werkt:
- D6300
- DGN2200
- EX6100
- R6250
- R6400
- R7000
- R8300
- R8500
- WGR614
- WGT624
- WN3000RP
- WNDR3300
- WNDR3400
- WNDR4000
- WNDR4500
- WNR834B
- WNR1000
- WNR2000
- WNR3500
- WNR3500L
Updates om de kwetsbaarheid te verhelpen zijn nog niet vrijgegeven (0-day), dus gebruikers worden geadviseerd de toegang tot de HTTP-poort van het apparaat te blokkeren voor verzoeken van niet-vertrouwde systemen. Netgear werd op 8 januari op de hoogte gebracht van de kwetsbaarheid, maar bracht geen firmware-updates uit om het probleem op te lossen binnen de overeengekomen openbaarmakingsdeadline van 120 dagen en verzocht om een verlenging van de embargoperiode. De onderzoekers kwamen overeen om de deadline te verschuiven naar 15 juni, maar eind mei vroegen Netgear-vertegenwoordigers opnieuw om de deadline te verschuiven naar eind juni, wat werd geweigerd.
Bron: opennet.ru