Netgear SOHO 路由器中的 CVE-2021-40847 缺陷可能允许远程代码执行

Netgear SOHO 路由器中的 CVE-2021-40847 缺陷可被远程攻击者利用以 root 身份执行任意代码。

咨询公司 GRIMM 的安全专家在小型办公室/家庭办公室 (SOHO) Netgear 路由器中发现了一个漏洞，远程攻击者可以利用该漏洞以 root 身份执行任意代码

该漏洞编号为 CVE-2021-40847，存在于许多 Netgear 设备固件中包含的第三方组件的来源中。此代码是Circle 的一部分， 用于为这些设备实现家长控制功能。专家注意到该代码以 root 身份运行，因此，利用该漏洞可能允许以 root 身份执行代码。

该缺陷存在于默认启用的 Circle 更新守护程序中，即使用户尚未将其路由器配置为使用家长控制功能。

该守护程序连接到 Circle 和 Netgear 以获取版本信息以及对 circled 守护程序及其过滤数据库的更新。专家注意到，来自 Netgear 的数据库更新未经签名并通过超文本传输协议 (HTTP) 下载，允许攻击者对设备进行中间人攻击。

“该守护程序连接到 Circle 和 Netgear 以获取版本信息以及 Circled 守护程序及其过滤数据库的更新。但是，来自 Netgear 的数据库更新未签名并通过超文本传输协议 (HTTP) 下载。” 读取后通过GRIMM出版。“因此，具有对设备执行中间人攻击能力的攻击者可以使用特制的压缩数据库文件响应圈出的更新请求，提取该文件使攻击者能够用攻击者控制的方式覆盖可执行文件。代码。”

“要利用该漏洞，攻击者必须能够拦截和修改路由器的网络流量。对于上面使用的特定基于 DNS 的 MITM 攻击，攻击者必须与来自 Circle 更新守护程序的 DNS 查询竞争。如果攻击者赢得其中一场比赛，这可以通过 GRIMM 编写的 PoC 漏洞可靠地完成，代码执行就很容易获得。其他不依赖 DNS 操作的中间人攻击也将允许攻击者利用此漏洞。”

专家针对此问题开发了概念验证 (PoC)，并成功针对 Netgear R7000 对其进行了测试。

以下是易受攻击的设备列表：

R6400v2 – 1.0.4.106R6700 – 1.0.2.16R6700v3 – 1.0.4.106R6900 – 1.0.2.16R6900P – 1.3.2.134R7000 – 1.0.11.123R7000P – 1.3.2.134R7850 – 1.0.5.68R7900 – 1.0.4.38R8000 – 1.0.4.68RS400 – 1.5.0.68

GRIMM 建议将设备更新到最新的固件版本，它还提供缓解措施，例如禁用易受攻击的组件或使用虚拟专用网络 (VPN) 客户端来加密所有网络流量并防止中间人攻击。

“对于许多组织而言，SOHO 设备在网络安全风险管理方面通常不受关注。但是，远程连接到公司网络的员工显着增加（例如，由于 Covid-19 导致实施了更新的在家工作政策）同样增加了 SOHO 设备漏洞对公司网络的风险。” 报告结束。

原文来自: securityaffairs.co