AccueilActualités informatiqueAppliquer un patch maintenant : Le routeur Nighthawk R6700v3 de Netgear pourrait...

Appliquer un patch maintenant : Le routeur Nighthawk R6700v3 de Netgear pourrait divulguer des mots de passe

Selon un chercheur en sécurité de Tenable, plusieurs failles de sécurité ont été découvertes dans le routeur Wifi Nighthawk R6700v3. Après des attaques réussies, les pirates pourraient par exemple voir les mots de passe non cryptés ou même, dans certaines conditions, exécuter des codes malveillants avec des droits de root.

Dans un rapport du chercheur en sécurité, il est indiqué qu’il n’existe pas encore de mise à jour de sécurité pour le firmware vulnérable 1.0.4.120. Dans un message d’avertissement actuel de Netgear concernant le firmware 1.0.4.122 pour les modèles R6400v2 et R6700v3, le chercheur en sécurité de Tenable est mentionné dans le contexte de failles comblées. Mais comme aucun numéro CVE des failles n’apparaît dans l’annonce, on ne peut que supposer que les failles ont été comblées. La réponse à une demande de heise Security adressée à Netgear n’a pas encore été donnée.

Netgear indique qu’il a également découvert des failles dans la Firmware 1.0.5.106 pour les modèles suivants :

  • RAX35v2
  • RAX38v2
  • RAX40v2
  • RAX42
  • RAX43
  • RAX45
  • RAX48
  • RAX50
  • RAX50S

Globalement, le risque lié aux lacunes est considéré comme « élevé« . Comme l’interface web s’appuie par défaut sur HTTP pour la communication, les attaquants pourraient s’appuyer sur deux vulnérabilités (CVE-2021-20174, CVE-2021-20175) pour intercepter les noms d’utilisateur et les mots de passe en texte clair.

Si un attaquant a un accès physique à un appareil vulnérable et peut se connecter au port UART, on peut même imaginer l’exécution d’un code malveillant avec des droits de root (CVE-2021-23147). En outre, les attaquants pourraient introduire dans les appareils une mise à jour préparée avec du code malveillant (CVE-2021.20173).

Plus d'articles