PT-2021-11434 · NetGear · Netgear R7450

1Sd3D · Publicado 2021-01-18 · Atualizado 2021-02-08 · CVE-2020-27872

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

NETGEAR R7450 versão 1.2.0.62 1.0.1

Descrição:

Esta vulnerabilidade permite que invasores na mesma rede contornem a autenticação em instalações afetadas dos roteadores NETGEAR R7450. A falha específica existe no serviço mini httpd, que escuta na porta TCP 80 por padrão. O problema resulta de um rastreamento de estado inadequado no processo de recuperação de senha. Um invasor pode explorar isso em conjunto com outras vulnerabilidades para executar código no contexto do root.

Recomendações:

Para o NETGEAR R7450 versão 1.2.0.62 1.0.1, como solução temporária, considere desativar o serviço mini httpd até que um patch esteja disponível. Restrinja o acesso ao processo de recuperação de senha para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-642

CWE-668

Identificadores relacionados

CVE-2020-27872

ZDI-21-071

Produtos afetados

Netgear R7450

Referências · 7

• https://t.me/cvenotify/9430 · Publicação no Telegram
• https://kb.netgear.com/000062641/Security-Advisory-for-Password-Recovery-Vulnerabilities-on-Some-Routers · Aviso do Fabricante
• https://t.me/cvenotify/9617 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-21-071 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2020-27872 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-27872 · Aviso do Fabricante
• https://t.me/cibsecurity/23080 · Publicação no Telegram