Publié par UnderNews Actu - Télécharger l'application Android

De nouveau, c’est une trentaine de produits Netgear qui sont touchés par une vulnérabilité critique, permettant à un attaquant de récupérer à distance le précieux mot de passe administrateur. Alerte !

Alors que la dernière alerte de sécurité concernant des produits Netgear remonte à décembre 2016, voila que l’année 2017 débute bien mal pour le fabriquant d’équipements réseaux. En effet, une trentaine de produits seraient à haut risque de piratage suite à la découverte d’une nouvelle faille de sécurité jugée critique.

Cette nouvelle faille a été identifiée sous la référence CVE-2017-5521 et permet, sous certaines conditions, de récupérer le mot de passe administrateur d’un routeur vulnérable, ce qui ouvre en grand la porte du réseau à l’attaquant pootentiel. Trustwave a publié un billet de blog, qui est confirmé par un bulletin de sécurité de Netgear.

La condition pour que l’exploitation soit possible est la suivante : l’option de récupération de mot de passe doit être désactivée dans la configuration de l’équipement concerné et l’option « remote management » doit être activée. Si cela est le cas, tout se joue sur le processus de récupération de mot de passe par le biais d’un jeton. C’est ici que se situe la faille. Il suffit de se rendre sur la page « /passwordrecovered.cgi?id=TOKEN », TOKEN correspondant au jeton récupéré. Simple et rapide…

Le constructeur dresse une liste complète des produits touchés par cette vulnérabilité ainsi que les liens vers la mise à jour du firmware qui la corrige :

La procédure de mise à jour est expliquée ici. Par contre, aucune mise à jour pour certains équipements, à savoir :

  • R6200
  • R6300
  • VEGN2610
  • AC1450
  • WNR1000v3
  • WNDR3700v3
  • WNDR4000
  • WNDR4500
  • D6300
  • D6300B
  • DGN2200Bv4
  • DGN2200v4

Netgear s’est engagé à proposer des mises à jour rapides lorsque des vulnérabilités sont découvertes ainsi qu’à mettre en place un programme de Bug Bounty. Ce dernier est déjà actif via bugcrowd (récompense entre 150 et 15 000 dollars selon la faille).

PIA VPN

 

Source : NextInpact

Vous avez aimé cet article ? Alors partagez-le en cliquant sur les boutons ci-dessous :

Twitter Facebook Google Plus Linkedin Pinterest email
1 étoile2 étoiles3 étoiles4 étoiles5 étoiles (2 votes, note : 4,50 sur 5)
Loading...

Mots clés : , , , , , ,


Vos réactions




Notifiez-moi des commentaires à venir via e-mail. Vous pouvez aussi vous abonner sans commenter.