79 Netgear-routers zijn kwetsbaar voor ongepatcht buffer-overflowlek

Verschillende Netgear-routers zijn kwetsbaar voor een zeroday. Daarmee zijn de routers over te nemen. Het lek is alleen uit te buiten vanaf een lokaal netwerk. Van daaruit kunnen wel andere apparaten benaderd worden.

Het lek werd ontdekt door beveiligingsbedrijf Grimm, dat meteen ook een proof-of-concept heeft gepubliceerd, en tegelijkertijd door Zero Day Initiative. Beide bedrijven hebben de kwetsbaarheden aan Netgear doorgegeven, maar er is nog geen patch beschikbaar.

De kwetsbaarheid zit in de httpd-daemon van de routers. Die controleert de datainput van de gebruiker niet. Daardoor is het mogelijk een buffer overflow te veroorzaken. Een aanvaller kan op die manier commando's uitvoeren op de router zonder dat daar authenticatie voor nodig is.

Het lek is wel alleen uit te buiten vanaf een lan-netwerk en niet van buitenaf. Wel kunnen aanvallers code uitvoeren op andere apparaten op het netwerk, of bijvoorbeeld port forwarding aanzetten.

Volgens een van de onderzoekers zouden stack-cookies dat probleem moeten tegengaan. "In de meeste software gebeurt dat ook, maar bij de Netgear R7000 niet", schrijft hij. "Ook in de Netgear-producten met dezelfde codebase worden stack cookies amper gebruikt."

Het lek zit volgens de onderzoekers in 79 verschillende Netgear-routers, al hebben ze de proof-of-concept slechts op een aantal modellen en firmwareversies getest. Beide beveiligingsbedrijven hebben Netgear vooraf op de hoogte gebracht en aan responsible disclosure gedaan, maar nadat Netgear had gevraagd om meer tijd besloot Zero Day Initiative alsnog te publiceren. Netgear zelf heeft nog niet gereageerd.

Reacties (56)

[blazez]

Misschien zouden ze eens bij netgear een paar capabele programmeurs moeten aannemen die 1/ weten wat ze doen en 2/ naar de community luisteren. op hun eigen forum worden er ook al zo lang problemen gemeld.
De ene na de andere r7000 firmware is nog brakker dan de andere. Super eenvoudige dingen die al jaren op het wensenlijstje van gebruikers staan worden nooit gemaakt (dns server of local dns ipadres meegeven in de DHCP opties).
al tijden klagen mensen keer op keer over problemen met firmwares. Zo was een paar firmwares geleden ineens de van functie niet meer werkend te krijgen.

[Wim-Bart]

Waarom, wat is er mis met de software? Heb een Orbi draaien met 2 satellites en als er iets goed werkt is dat het wel.

[blazez]

Volgens mij gaf ik al een paar voorbeelden. Al jaren vragen vele mensen om een fatsoenlijke dns server of op zijn minst de (basis) mogelijkheid een dns server IP-adres mee te geven vanuit de dhcp server. Ik heb uiteindelijk maar de dhcp server uitgeschakeld en naar m’n PiHole gezet om een fatsoenlijk werkende PiHole te krijgen
De vpn toegang die spontaan niet meer werkte met een update.
De eindeloze tijd dat gebruikers moesten wachten tot eindelijk de md5 encryptie vervangen was.
Als je op het forum van netgear kijkt regent het al tijden aan klachten over de ene na de andere (brakke) firmware.
Veel gebruikers die heel veel firmware update achter lopen om de boel maar werkend te houden. Na dat akkefietje met de von heb ik hem ook moeten downgraden en ben ik ook heel erg huiverig een nieuwe versie te installeren.

[Videopac]

Waarom zet je er niet OpenWrt o.i.d, op?

[Djie]

Omdat daar ook dezelfde problemen op voorkomen?
nieuws: OpenWRT bevat beveiligingslek dat remote code execution mogelijk maakt

[Videopac]

Het is in ieder geval veel stabieler, veel betere functionaliteit en beveiligingsproblemen worden sneller opgelost.

[blazez]

Heb ik eerlijk wel een aantal keer over nagedacht. Helaas zit ik in een situatie waarbij ik niet meer teveel ingewikkelde dingen in het thuisnetwerk kan maken ivm persoonlijke omstandigheden. Met een andere router en een pihole en wat basis domotica is het wel maximaal.

[MainframeX]

Niks complex aan. Het is gewoon een kwestie van openwrt erop flashen en klaar is kees. De technieken die je nu gebruikt zijn onder openwrt niet ineens anders.

Een andere overwegen is nu standaardiseren op openwrt en vanaf nu alleen maar apparatuur kopen dat openwrt ondersteund. Zo ben je niet meer van een bepaald merk afhankelijk en is de software overal nagenoeg hetzelfde, lekker makkelijk en juist minder complex.

[CreatiXx]

Voor de technici onder ons in België!

Waren Telenet routers ook geen NETGEAR? En zo ja, vallen zij hier dan ook onder?

[nils83]

Gebruikt Telenet geen Motorola modems? Is al een tijdje geleden bij ons maar herinner me toch dat het Motorola was.

[DarkJack]

Yep, Motorola. Zowel voor hun modem-only, LAN-only home gateway en wifi enabled gateways.

[CreatiXx]

dit zou blijkbaar combell zijn en geen motorala meer, motorala was tot DOCSIS 2 en niet meer met DOCSIS 3, net nagevraagd aan hen

Telenet AP zijn wel terug netgear. FYI voor iedereen

[kodak]

Dit laat zien hoe waardevol het is om als onderzoekers ook na te gaan sinds wanneer dit soort beveiligingsfouten al bestaan. Het kan makkelijk 15 jaar fout zijn en ook zo in heel veel producten zitten.

Wat ik niet begrijp is dat ze wel veel moeite doen om het grondig te onderzoeken maar verder niet heel duidelijk zijn hoeveel moeite ze doen om het probleem bij netgear bekend te maken en te laten oplossen. Een keer contact proberen te krijgen en dan maar laten zitten? Zo lijkt het wat meer te gaan om te laten zien dat de fouten bestaan en niet echt om het oplossen.

[oef!]

Beide beveiligingsbedrijven hebben Netgear vooraf op de hoogte gebracht en aan responsible disclosure gedaan

Het responsible disclosure geeft aan dat ze via de regels van Netgear gehandeld hebben. De onderzoekers doen weinig verkeerd.

[kodak]

Ik lees dat vooral ZDI met VNPT ISC moeite heeft gedaan om een kwetsbaarheid opgelost te krijgen. Het andere bedrijf Grimm zegt alleen een keer contact op te hebben genomen en er later achter te zijn gekomen dat wat ze ontdekt hadden waarschijnlijk hetzelfde probleem is.

Wat ik niet begrijp is waaruit blijkt dat Grimm hier echt moeite heeft gedaan om het probleem opgelost te krijgen en dit hetzelfde probleem zou zijn. Er is zelfs niets waaruit blijkt dat dit dezelfde beveiligingsfout is. Wat Grimm hier lijkt te doen is meeliften op de moeite van anderen om vooral zelf aandacht te krijgen. Nauwelijks laat blijken dat ze hier verantwoord omgaan met het melden bij Netgear en het publiek gaan. Terwijl ZDI en VNPT ISC wel heel veel moeite laten zien maar de details niet melden.

[cosmo_roel]

en tegelijkertijd door

Is dat stom toeval? Of is het een clubje mensen waarvan de één bij het ene en de ander bij het andere bedrijf werkt?

[Keypunchie]

Stom toeval zal wel niet.

Kan me ook voorstellen dat beide groepen in dezelfde kringen informatie uitwisselen. Als daar dan iemand iets heeft geschreven of gepresenteerd over ‘stack cookies’ kan dat beide individueel hebben geïnspireerd om dat eens bij een merk router te bekijken.

Voor hetzelfde geld hebben ook 3 andere onderzoekers dit geprobeerd te exploiteren bij 3 andere merken, maar is daar niks uit gekomen.

[Luxicon]

Gaat dat om PfSense, of is dit meer andere router software?

[dhrto]

Dit is netgear dat hardware routers e.d. maakt, niet netgate van pfsense

[prutser001]

omdat dat nu Netgate heet of in ieder geval pfsense gebruikt, er zijn wel meer mensen die dit door elkaar halen.

[Luxicon]

Juist, ik heb het nu door. Het lijkt wel erg op elkaar.

[MueR]

Wat heeft pfsense met netgear te maken

[kiddingguy]

lekkâh dan... blij met met Asus router

[Reactie gewijzigd door kiddingguy op 26 juli 2024 20:50]

[EnigmaNL]

lekkâh dan... blij met met Asus router

Wie weet heeft jouw Asus router een soortgelijk lek maar is het nog niet bekend.

[SED]

Een lek dat niet bekend is zal vooralsnog geen gevaar opleveren.

[EnigmaNL]

Dat het lek bij ons niet bekend is wil niet zeggen dat het lek bij niemand bekend is... Sommige lekken worden zelfs actief onderdrukt zodat ze kunnen worden gebruikt door diverse partijen

[SED]

Hoe dan ook, dan is het dus een bekend lek.
De opmerking ging over onbekende lekjen

[EnigmaNL]

Een lek die bij helemaal niemand bekend is, is überhaupt geen lek...

[SED]

Kijk, nu zijn we er..

[Menno120]

Als er niemand afweet van een brand wil niet zeggen dat die brand niet woed.:-)

[mvleus]

je moet het anders zien: Een deur die niet op slot zit, maar niemand weet dat die deur niet op slot zit, vormt niet echt een bedreiging.

[geenidee]

Bekend bij het gewone publiek dan hè.
"Onbekende" lekken worden voor grote bedragen verkocht in het criminele circuit.

[SED]

Onbekende lekken kun je niet verkopen.
Zero days daarentegen wrl.

[Yoshi]

onbekend = niet openbaar. dus ik zie niet in waarom je dat niet zou kunnen verkopen. Maar het is idd semantiek ;-) en dus ergens ook imho.

[mjl]

Een beetje recente ASUS router wordt gewoon nog gepracht, de netgear routers die ik heb worden al lang niet meer bijgehouden.

[lordsnow]

Obscurity =/= Security

https://en.wikipedia.org/wiki/Security_through_obscurity

[SED]

Die stelling komt heel vaak op verkeerde momenten naar voren.
Obscurity zou altijd een onderdeel van security moeten zijn.

[kiddingguy]

Naja... moet zeggen dat er wel veel/periodiek patches worden uitgebracht voor mijn RT-AC86U. Zo ook nog afgelopen week (come to think of... misschien wel deze patches die hier nu bij Netgear gefixed zijn )

[Punkbuster]

Asus staat nou ook niet echt bekend om zijn veilige software. Het is zelfs zo dat als jij een usb-stick aan je router hangt dat je die dan automatisch deelt met iedereen in de wereld. Geen firewall of restricties

[Ch3vr0n]

Hah mijn netgear valt er niet onder of hun lijst is onvolledig. De XR500 en XR700 zijn niet vermeld

[amigob2]

Het eerste wat ik deed met mijn twee nieuwe Netgear netwerk routers, was "Shibby Tomato" er op zetten, moet nu wel een keer een update doen naar "Fresh tomato"

[LinuX-TUX]

Na een drietal droeve upgrades op de Nighthawk, ene nog slechter en instabieler dan de ander, zelf ook overgestapt op Merlin (Asus).

Nog nooit zoveel opties gehad en zo stabiel geweest.

(Was een close call tussen jouw Tomato's, ddwrt en die Merlin. Merlin uiteindelijk genomen vanwege ... app support op de telefoon en de rest ziet er ook gewoon goed uit. Alle functionaliteiten zitten erin)

[duikje]

(Was een close call tussen jouw Tomato's, ddwrt en die Merlin. Merlin uiteindelijk genomen vanwege ... app support op de telefoon en de rest ziet er ook gewoon goed uit. Alle functionaliteiten zitten erin)

Hoop niet dat je de Asus app bedoeld voor remote bedienen van je router want die heeft een hele slechte reputatie en zette bijvoorbeeld het admin panel open voor de buitenwereld.

[LinuX-TUX]

Wist ik van, staat allemaal potdicht en host zelf nog wat dingen thuis, dus die porten van buitenaf eindigen netjes in een DMZ met een proxy aldaar. Maar, voor eenieder hier die ook nog naar deze oplossing gaat kijken, inderdaad iets om in je achterhoofd te houden.

[Ch3vr0n]

0 problemen hier met de mijne. Werkt perfect hier, en uitstekende combinatie met mijn Asus PCE-AC88 add-in card

[duikje]

Als je ook een Asus router hebt zou ik eens kijken in de Administration System Tab of Enable Web Access from WAN off is zo niet is de admin page van de router op internet beschikbaar en Asus heeft een hele reeks van dit soort zelfde problemen gehad als Netgear nu en dan ben je dus niet alleen kwetsbaar vanaf het LAN.
De Asus app wijzigde deze setting uit zich zelf zodat je ook makkelijk buiten de deur je router kan beheren.
Als je je web interface wil bedienen op een remote lokatie doe dat dan door een VPN server te draaien op de router en daar naar te connecten.

[amigob2]

Dat was voor mij de reden om, ik denk nu meer dan 5 jaar geleden, Shibby tomato te installeren op de router, er was toen geen router fabrikant die OpenVPN aanbood. dd-wrt kreeg ik de VPN toen niet fatsoenlijk voor elkaar, en bij Shibby was het gewoon wat keys copy/pasten en simpel settings en het werkte.
Heb toen nog 1 maal dd-wrt geprobeerd en ik kreeg met geen mogelijkheid de control panel uit voor WAN
Je kon niet veel via WAN, maar ik wil dat gewoon niet.
Bij Shibby gewoon met een VPN inloggen en je kunt het van de LAN instellen.
Ik moet wel naar "Fresh Tomato" de software begint te oud te worden.

[Ch3vr0n]

heb ik niet. Zoals eerder vermeld is de mijne een XR500 van netgear, en die staat niet op de lijst.

[Ronwiel]

Ik neem dat dit dus geen invloed heeft op unmanaged switches?

[orvintax]

Hoogst waarschijnlijk niet nee.

[RefriedNoodle]

Een unmanaged switch is een relatief dom device zonder enige vorm van configuratiemogelijkheid, met maar 1 functie: pakketjes doorschuiven naar wie er maar naar luisteren wil. Het biedt geen enkele feature die ook maar iets met security te maken heeft.

Eigenlijk is een unmanaged switch daarom op zichzelf al een beveiligingsrisico, maar thuis is dat niet zo'n issue.

[Theone098]

Dat ligt er aan hoe je er naar kijkt. Voor een domme switch heb je fysieke toegang nodig, een intelligente kan vaak op afstand worden benaderd. Wat is dan een groter risico? En het is geen hub die maar pakketjes doorstuurt naar wie maar luisteren wil m.u.v. broadcasts.

[RefriedNoodle]

Ik weet ook wel het verschil tussen een hub en een switch, ik had me niet goed verwoord. Maar een managed switch kun je configureren met port security, beveiligen tegen ARP spoofing, et cetera. Unmanaged is dat geen optie, en dus een risico.

Je hoeft ook geen fysiek toegang tot de switch zelf te hebben, een gepatchte outlet is voldoende. Even jezelf social engineeren naar de printercorner en je hebt een switchpoort te pakken.

[TheDeeGee]

Neem aan dat dit gaat om routers met de firmware van Netgear zelf?

Ik gebruik namelijk Xwrt op mijn R7000.

[groene henk]

De R7800 zit er niet bij. Volgens mij is datnkg steeds de populairste Netgear.