Le fabricant NetGear est de nouveau dans une position délicate : une faille (CVE-2017-5521) qui permettrait à un individu de récupérer le mot de passe administrateur du routeur concerne une trentaine de ses produits (routeurs et routeurs/modems).
La faille est relativement simple à exploiter, elle repose par ailleurs sur un défaut mis en avant par des experts en sécurité il y a trois ans de cela. Il faut que la récupération de mot de passe soit désactivée sur le routeur pour que cela fonctionne.
Ainsi, lorsque l'étape d'authentification est annulée, l'utilisateur est redirigé vers une page qui comporte un token (jeton) de récupération de mot de passe. Une fois avec ce token en poche, il suffit de se rendre sur la page /passwordrecovered.cgi?id=TOKEN pour récupérer le mot de passe administrateur de la machine. Notons que la faille n'est pas exploitable si la récupération du mot de passe est activée, puisque le protocole de sécurité repose alors sur une question de vérification pour la récupération dudit mot de passe. Netgear tente également de minimiser la faille en indiquant que pour qu'elle soit exploitable, il faut que l'option "Remote management" soit activée, ce qui n'est pas le cas par défaut sur ses produits.
Netgear a confirmé qu'une trentaine de produits étaient concernés et fournit déjà des correctifs pour une partie. Il suffit de se rendre sur cette page pour accéder à la liste des routeurs disposant d'un nouveau firmware corrigé.
Reste qu'une douzaine de routeurs ne profite actuellement d'aucun correctif, pour ces derniers, NetGear recommande d'activer la procédure de récupération de mot de passe et de désactiver la gestion à distance :
- R6200 v1.0.1.56_1.0.43
- R6300 v1.0.2.78_1.0.58
- VEGN2610 v1.0.0.14_1.0.12
- AC1450 v1.0.0.34_10.0.16
- WNR1000v3 v1.0.2.68_60.0.93
- WNDR3700v3 v1.0.0.38_1.0.31
- WNDR4000 v1.0.2.4_9.1.86
- WNDR4500 v1.0.1.40_1.0.68
- D6300 v1.0.0.96
- D6300B v1.0.0.40
- DGN2200Bv4 v1.0.0.68
- DGN2200v4 v1.0.0.76
Face à une situation délicate comme celle-là, Netgear a lancé un programme de bug bounty avec des récompenses allant de 150 à 150 000 dollars pour le partage de la découverte de failles sur ses produits. Reste à savoir si le constructeur tiendra ses engagements, puisque cette faille en question avait été mise en évidence il y a trois ans déjà, sans que Netgear ne daigne se lancer dans le déploiement de correctifs.
