Netgear 修復三個嚴重資安漏洞,影響 20 種智慧型網路交換器

全球網通產品大廠 Netgear 日前推出韌體更新,修復影響其多達二十種智慧型交換器的三個嚴重資安漏洞;駭侵者可利用這些漏洞,完全控制交換器設備。這三個將獲修復的漏洞,分別由資安研究人員命名為 The Demon’s Cries、Draconian Fear、Seventh Inferno,目前暫無 CVE 編號,但都可能造成這些智慧型交換器的控制權限遭駭侵者取得,進而針對企業內網發動進一步攻擊行動。Demon’s Cries 漏洞的 CVSS 分數高達 8.8 分(滿分為 10 分),據資安專家指出,該漏洞可讓駭侵者跳過登入驗證程序,駭侵者可藉以取得管理者的登入資訊,並且完全掌控受害的交換器設備。

資安研究人員指出,該漏洞存於 Netgear Switch Discover Protocol 之內;研究人員發現一種可以跳過其登入驗證程序的方法,不過駭侵者必須先進入企業內部網路,才能利用這個漏洞。

Draconian Fear 的 CVSS 分數為 7.4 分,駭侵者如果與管理者使用同一個 IP,或假造一個和管理者相同的登入用 IP,即可攔截 Netgear 交換器 web 界面傳送的資訊封包,並且利用其來源檢查的漏洞,進入管理介面之中。

研究人員尚未針對第三個漏洞 Seventh Inferno 推出詳細分析,不過 Netgear 已針對旗下二十種受到這批漏洞影響的機種,推出更新版本的韌體;使用 Netgear 交換器的用戶,應依照 Netgear 資安通報的說明,檢查交換器的型號與版本是否列入受影響名單之列,並且儘速更新。

  • 影響產品/版本:參見 Netgear 資安通報
  • 解決方案:更新至最新版本韌體

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

回到頂端