按 Enter 到主內容區
:::

TWCERT/CC台灣電腦網路危機處理暨協調中心

:::

Netgear 修復三個嚴重資安漏洞,影響 20 種智慧型網路交換器

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2021-09-10
  • 點閱次數:1753
Netgear 修復三個嚴重資安漏洞,影響 20 種智慧型網路交換器 TWCERT/CC

全球網通產品大廠 Netgear 修復影響其二十種智慧型交換器的三個嚴重資安漏洞,駭侵者可利用這些漏洞,完全控制交換器設備。

全球網通產品大廠 Netgear 日前推出韌體更新,修復影響其多達二十種智慧型交換器的三個嚴重資安漏洞;駭侵者可利用這些漏洞,完全控制交換器設備。

這三個將獲修復的漏洞,分別由資安研究人員命名為 The Demon’s Cries、Draconian Fear、Seventh Inferno,目前暫無 CVE 編號,但都可能造成這些智慧型交換器的控制權限遭駭侵者取得,進而針對企業內網發動進一步攻擊行動。

Demon’s Cries 漏洞的 CVSS 分數高達 8.8 分(滿分為 10 分),據資安專家指出,該漏洞可讓駭侵者跳過登入驗證程序,駭侵者可藉以取得管理者的登入資訊,並且完全掌控受害的交換器設備。

資安研究人員指出,該漏洞存於 Netgear Switch Discover Protocol 之內;研究人員發現一種可以跳過其登入驗證程序的方法,不過駭侵者必須先進入企業內部網路,才能利用這個漏洞。

Draconian Fear 的 CVSS 分數為 7.4 分,駭侵者如果與管理者使用同一個 IP,或假造一個和管理者相同的登入用 IP,即可攔截 Netgear 交換器 web 界面傳送的資訊封包,並且利用其來源檢查的漏洞,進入管理介面之中。

研究人員尚未針對第三個漏洞 Seventh Inferno 推出詳細分析,不過 Netgear 已針對旗下二十種受到這批漏洞影響的機種,推出更新版本的韌體;使用 Netgear 交換器的用戶,應依照 Netgear 資安通報的說明,檢查交換器的型號與版本是否列入受影響名單之列,並且儘速更新。

  • 影響產品/版本:參見 Netgear 資安通報
  • 解決方案:更新至最新版本韌體
回頁首