CVE-2021-34978

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

NETGEAR R6260 versão 1.1.0.78 1.0.1

NETGEAR AC2100, AC2400, AC2600, D7000, R6020, R6080, R6120, R6220, R6230, R6350, R6330, R6700v2, R6800, R6850, R6900v2, R7200, R7350, R7400, R7450, WAC124 (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores na mesma rede executem código arbitrário em instalações afetadas de roteadores NETGEAR. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica está presente na página setupwizard.cgi. Uma solicitação SOAP maliciosa pode provocar um estouro de um buffer baseado em pilha de comprimento fixo. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto de root.

Recomendações

Para o NETGEAR R6260 versão 1.1.0.78 1.0.1, considere desativar o acesso à página setupwizard.cgi até que um patch esteja disponível.

Para os modelos NETGEAR AC2100, AC2400, AC2600, D7000, R6020, R6080, R6120, R6220, R6230, R6350, R6330, R6700v2, R6800, R6850, R6900v2, R7200, R7350, R7400, R7450, WAC124, restrinja o acesso à página setupwizard.cgi para minimizar o risco de exploração.

Como solução alternativa temporária, considere bloquear solicitações SOAP maliciosas à página setupwizard.cgi até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Explorabilidade

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados