Netgear Nighthawk රවුටර සඳහා මෑත කාලීන ස්ථිරාංග යාවත්කාලීන කිරීම් වලදී ආරක්ෂක පර්යේෂකයෙකු බරපතල දුර්වලතා 11 ක් සොයාගෙන ඇත. දුර්වලතා Netgear මගින් සමනය කර ඇත. උදාහරණයක් ලෙස, රවුටර පරිශීලක නාම සහ මුරපද සරල පෙළෙහි ගබඩා කරයි.
Tenable නම් ආරක්ෂක සමාගමේ පර්යේෂක Jimi Sebree විසින් සොයාගත් දුර්වලතා Nighthawk R6700v3 AC1750- හි ඇත.ස්ථිරාංග අනුවාදය 1.0.4.120 සහ Nighthawk RAX43 හි, ස්ථිරාංග අනුවාදය 1.0.3.96. අවදානම් වෙනස් වේ, නමුත් පර්යේෂකයාට අනුව ඒවා සියල්ලම බරපතල හා විවේචනාත්මක වන අතර, තවද සියල්ල Netgear විසින් පැච් කර නොමැත.
RS2021 සඳහා CVE-45077-6700 ලෙසත් RAX2021 සඳහා CVE-1771-43 ලෙසත් වඩාත්ම තීරණාත්මක අවදානමක් ලියාපදිංචි කර ඇත. රවුටර මඟින් උපාංගය සඳහා පරිශීලක නාම සහ මුරපද ගබඩා කරන අතර සේවා සපයනු ලබන්නේ රවුටරවල සාමාන්ය පෙළෙන් වන අතර පරිපාලක මුරපදය රවුටරයේ ප්රාථමික වින්යාස ගොනුවේ සරල පෙළෙහි ඇත, Sebree ඔහුගේ වෙබ් අඩවියේ මෙසේ ලියයි.
මීට අමතරව, එම පරිශීලක නාම සහ මුරපද බාධා කිරීමේ අවදානමක් ඇත. RS6700v3 වල, රවුටර නිසා සම්මත HTTP භාවිතයසහ, Https වෙනුවට, වෙබ් අතුරු මුහුණත සමඟ සියලු සන්නිවේදනයන් සඳහා. SOAP අතුරුමුහුණත, වරාය 5000 මත, සන්නිවේදනය සඳහා HTTP භාවිතා කරයි, මුරපද සහ පරිශීලක නාම වලට බාධා කිරීමට ඉඩ සලසයි.
SOAP අතුරුමුහුණත
තවද, රවුටරය විධාන එන්නත් කිරීමට ගොදුරු වේ පශ්චාත් සත්යාපනය විධාන එන්නත් කිරීමේ දෝෂයකි උපාංගයේ යාවත්කාලීන මෘදුකාංගයේ. SOAP අතුරුමුහුණත හරහා යාවත්කාලීන චෙක්පතක් ක්රියාරම්භ කිරීම මඟින් උපාංගය පෙර සැකසූ අගයන් හරහා පවරා ගැනීමට අවදානමට ලක් වේ. එසේම, UART කොන්සෝලය ප්රමාණවත් ලෙස ආරක්ෂා කර නැත, UART port හරහා උපාංගයට භෞතික ප්රවේශයක් ඇති ඕනෑම කෙනෙකුට සත්යාපනයකින් තොරව මූල පරිශීලකයෙකු ලෙස සම්බන්ධ වීමට සහ කාර්යයන් කිරීමට ඉඩ සලසයි.
එසේම, රවුටරය ඇතැම් සැකසුම් සඳහා දෘඪ-කේත අක්තපත්ර භාවිතා කරයි, එවිට පරිශීලකයෙකුට සාමාන්යයෙන් ඇතැම් ආරක්ෂක සැකසුම් සකස් කළ නොහැක. මේවා සංකේතනය කර ඇත, නමුත් පර්යේෂකයන්ට අනුව සොයා ගැනීමට සාපේක්ෂව පහසුය රවුටරයට ප්රවේශය ඇති ඕනෑම අයෙකුට සැකසීම් සකස් කිරීමට ඉඩ සලසමින් පොදු වශයෙන් ලබා ගත හැකි මෙවලම් සමඟින්. මීට අමතරව, රවුටරය jQuery පුස්තකාලවල සහ minidlna.exe හි දන්නා දුර්වලතා කිහිපයක් භාවිතා කරයි, නමුත් වඩාත් මෑත සංස්කරණ තිබේ.
නෙට්ජියර් නයිට්හෝක් ආර් 6700
RS6700 හි ඇති දුර්වලතා 7.1 සිට 1 දක්වා පරිමාණයෙන් 10 CVE අගයක් ඇත. එය බරපතල නමුත් තීරණාත්මක නොවේ. ප්රධානතම හේතුව වන්නේ ප්රහාරකයෙකුට දුර්වලතා ප්රයෝජනයට ගැනීම සඳහා රවුටරයට භෞතික ප්රවේශය තිබිය යුතුය. මීට අමතරව, SOAP අතුරුමුහුණතෙහි ඇති දුර්වලතා උපයෝගී කර ගැනීම කළ හැක්කේ ප්රහාරකයෙකු දැනටමත් ලොග් වී ඇත්නම් පමණි. RAX43 සඳහා වන දුර්වලතා සඳහා ලකුණු 8.8 න් 10ක් ඇත.
RAX43 ද පෙරනිමියෙන් HTTP භාවිතා කරයි, Sebree ලියයි, සහ එම නරක jQuery පුස්තකාල සහ minidlna.exe හි අවදානමට ලක්විය හැකි අනුවාදය භාවිතා කරයි. මීට අමතරව, RAX43 ස්ථිරාංගයට දෝෂ දෙකක් නිසා ඇති වන අවදානමක් ඇත. පළමුවැන්න බෆරය ඉක්මවා ගිය අවදානමකි, දෙවැන්න විධාන එන්නත් අවදානමකි. මේ දෙක ඒකාබද්ධ කිරීමෙන් කෙනෙකුට සත්යාපනයකින් තොරව root ලෙස දුරස්ථ කාර්යයන් කිරීමට ඉඩ සලසයි.
Netgear Nighthawk RAX43
සැප්තැම්බර් 30 වන දින Tenable විසින් Netgear වෙත දුර්වලතා පිළිබඳව දැනුම් දී ඇති බව Sebree ලියයි. Netgear මුලින් ඔක්තෝම්බර් මස මුලදී දුර්වලතා පිළිබඳ වාර්තාවට ප්රතිචාර දැක්වූවත්, ඒ ගැන කිසිවක් කිරීමට පෙර බොහෝ කාලයක් ගත විය. දෙසැම්බර් 29, නෙට්ජියර් අවදානම් සඳහා අනතුරු ඇඟවීමක් මාර්ගගතව තබන්න. දැනටත් තියෙනවා ස්ථිරාංග යාවත්කාලීන කිරීම් දෙකම සඳහා රවුටර අන්තර්ජාලයේ දමා ඇත. Netgear තවමත් ෆර්ම්වෙයාර් යාවත්කාලීනයන් පරිශීලකයන් වෙත සක්රියව තල්ලු කර නොතිබුණද, වගකීම් සහගත හෙළිදරව් කිරීමේ මුවාවෙන් දුර්වලතා හෙළි කිරීමට Sebree දෙසැම්බර් 30 දින තීරණය කළේය.
Nighthawk RS6700 යනු ප්රධාන වශයෙන් නිවාස භාවිතය ඉලක්ක කරගත් රවුටර මාලාවකි. එය Pricewatch හි AC1750 Smart WiFi Router ලෙස ලැයිස්තුගත කර ඇති අතර, 31 ජූලි 2019 සිට ලබා ගත හැක. දුර්වලතා ඇත්තේ රවුටරයේ තුන්වන අනුවාදය. RAX43 30 දෙසැම්බර් 2020 සිට ලබා ගත හැකිය.