資安專家發現 Netgear Nighthawk R6700v3 路由器存有多個未修復漏洞

這款路由器具有一些專為遊戲用途設計的功能,在市場上相當受歡迎;研究人員在其最新版本的韌體 1.0.4.120 中發現多達六個漏洞,分述如下:

  • CVE-2021-20173:存於該裝置的更新功能中,為認證後命令注入漏洞;
  • CVE-2021-20174:該裝置 web 介面的所有通訊均透過未加密的 http 進行,用戶登入資訊以明文傳送,可能遭駭侵者竊取;
  • CVE-2021-20175:SOAP 介面(port 5000)亦使用未加密的 http 傳輸資料,用戶登入資訊有被竊風險;
  • CVE-2021-23147:可透過 UART 連線在未經認證的情形下,以 root 權限執行指令;
  • CVE-2021-45732:透過硬寫入的加密常式進行設定操弄,可導致因資安理由而鎖住的設定值遭到竄改;
  • CVE-2021-45077:所有該裝置的用戶登入資訊,均以明文儲存於設定檔中。

另外,研究人員也發現,在這款 Netgear Nighthawk R6700v3 中使用的 jQuery 程式庫 1.4.2 版與 miniDLNA 伺服器版本,都是存有已知資安漏洞的舊版。
雖然 Netgear Nighthawk R6700v3 仍在原廠支援週期內,並不是已經停止支援的老舊機種,不過截至發稿為止,Netgear 尚未針對這些被發現的漏洞提供新版韌體。
資安專家呼籲這款路由器的用戶,應將管理密碼設定為強式密碼,並頻繁檢查原廠是否推出了新版韌體,以便儘速更新。

  • CVE編號:CVE-2021-20173 等 6 個
  • 影響產品(版本):Netgear Nighthawk R6700v3 韌體版本 1.0.4.120 與較舊版本
回到頂端