Mettez à jour vos appareils Netgear Orbi, des exploits PoC pour plusieurs vulnérabilités sont disponibles !
Des exploits PoC sont disponibles pour plusieurs vulnérabilités présentes dans le firmware de certains modèles de la solution Netgear Orbi, très populaire chez les particuliers. Faisons le point sur ces failles de sécurité et les risques associés.
Pour améliorer la connectivité sans-fil à son domicile, que ce soit pour avoir un meilleur débit ou une meilleure couverture, de nombreux utilisateurs ont fait le choix de s'orienter vers la solution WiFi Mesh Netgear Orbi. Aujourd'hui, cette solution populaire est affectée par 4 failles de sécurité. Pour être plus précis, ce sont les routeurs et les appareils satellites de la gamme Netgear Orbi 750 (RBR750) qui sont affectés.
Le 30 août 2022, les chercheurs en sécurité de chez Cisco Talos ont remonté ces problèmes de sécurité à Netgear. Récemment, Netgear a mis en ligne une nouvelle version de firmware pour patcher ces vulnérabilités, enfin, une partie de ces vulnérabilités.
En effet, la faille de sécurité CVE-2022-38452 n'a pas été corrigée à ce jour par Netgear. Elle permet une exécution de code à distance en exploitant le service Telnet du routeur et implique de disposer de l'adresse MAC de l'appareil et d'identifiants valides.
Pour le reste, il y a la faille de sécurité CVE-2022-37337 qui est la plus critique du lot puisqu'elle hérite d'un score CVSSv3 de 9,1 sur 10 et qu'elle permet à un attaquant d'exécuter des commandes à distance sur l'appareil Orbi, simplement en envoyant une requête HTTP spécifique. Ce qui est particulièrement dangereux si un routeur Orbi est exposé sur Internet, même s'il est nécessaire de connaître des identifiants. À ce sujet, le moteur de recherche Shodan référence environ 10 000 routeurs Orbi disponibles sur Internet (dont un peu moins de 200 en France).
Les deux autres vulnérabilités corrigées sont associées aux références CVE-2022-36429 et CVE-2022-38458. Cisco Talos a mis en ligne des exploits Proof of Concept pour ces 4 failles de sécurité, y compris celle qui n'est pas patchée par le dernier firmware de Netgear.
Désormais, l'équipe Cisco Talos recommande aux utilisateurs d'appareils Netgear Orbi 750 d'appliquer le correctif en urgence, en installant le firmware 4.6.14.3 disponible depuis le 19 janvier 2023. Vous pouvez utiliser ce lien pour accéder au site Netgear.
