КиберосноваSGRC
BDU:2022-01189
Высокий

BDU:2022-01189: Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR EX6100v2, EX6150v2, EX6250, EX6400, EX6400v2, EX6410, EX6420, EX7300, EX7300v2, EX7320, EX7700, LBR1020, LBR20, RBK352, RBK50, RBR350, RBR50, RBS350, связанная с отсутствием защиты служебных данных, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v37.5
CVSS v27.8
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2022-01189

Описание

Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR EX6100v2, EX6150v2, EX6250, EX6400, EX6400v2, EX6410, EX6420, EX7300, EX7300v2, EX7320, EX7700, LBR1020, LBR20, RBK352, RBK50, RBR350, RBR50, RBS350 связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию

Что делать с BDU:2022-01189

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.5Высокий
Пересчитать →
v2
7.8
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAV:N/AC:L/Au:N/C:C/I:N/A:N

CWE — тип уязвимости

CWE-200

CVE — международный идентификатор

CVE-2021-45648
CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Злоупотребление функционалом

Уязвимое ПО (18)

ВендорНазваниеВерсияПлатформа
NETGEARRBR50до 2.7.3.22Не указана
NETGEARRBK50до 2.7.3.22Не указана
NETGEAREX6100v2до 1.0.1.106Не указана
NETGEAREX6150v2до 1.0.1.106Не указана
NETGEAREX6250до 1.0.0.146Не указана
NETGEAREX6400до 1.0.2.164Не указана
NETGEAREX6400v2до 1.0.0.146Не указана
NETGEAREX6410до 1.0.0.146Не указана
NETGEAREX6420до 1.0.0.146Не указана
NETGEAREX7300до 1.0.0.146Не указана
NETGEAREX7300v2до 1.0.0.146Не указана
NETGEAREX7320до 1.0.0.146Не указана
NETGEAREX7700до 1.0.0.222Не указана
NETGEARLBR1020до 2.6.5.16Не указана
NETGEARLBR20до 2.6.5.2Не указана
NETGEARRBK352до 4.3.4.7Не указана
NETGEARRBR350до 4.3.4.7Не указана
NETGEARRBS350до 4.3.4.7Не указана

Рекомендации по устранению

Использование рекомендаций производителя: https://kb.netgear.com/000064494/Security-Advisory-for-Sensitive-Information-Disclosure-on-Some-Routers-Extenders-and-WiFi-Systems-PSV-2020-0453

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2021-12-21

Опубликована

2022-03-09

Обновлена

2022-03-09

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2021-45648 MITRE: CWE-200 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2022-00397
Высокий
9.6

Уязвимость встроенного программного обеспечения маршрутизаторов D7800, EX6200v2, EX6250, EX7700, EX8000, LBR20, R7800, R

BDU:2022-00419
Высокий
9.6

Уязвимость встроенного программного обеспечения Wi-Fi роутеров NETGEAR EX6200v2, EX6250 и EX7700, связанная с недостаточ

BDU:2022-00474
Средний
7.5

Уязвимость встроенного программного обеспечения Wi-Fi роутеров NETGEAR D7800, EX6250, EX7700, LBR20, RBS50Y, R8900, R900

BDU:2022-01098
Высокий
8.8

Уязвимость встроенного программного обеспечения маршрутизаторов NETGEAR D7800, DM200, EX2700, EX6150v2, EX6200v2, EX6250

BDU:2022-00420
Средний
7.1

Уязвимость встроенного программного обеспечения Wi-Fi роутеров NETGEAR D7800, DM200, EX2700, EX6150v2, EX6100v2, EX6200v

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0