Tổng hợp các mẫu Router Netgear chứa lỗ hổng bảo mật RCE nghiêm trọng
Hãng thiết bị mạng Netgear vừa tung ra bản vá cho một lỗ hổng nghiêm trọng trên một số mẫu router. Khai thác lỗ hổng này hacker có thể triển khai các cuộc tấn công thực thi code từ xa (RCE) nhằm chiếm quyền kiểm soát hệ thống bị ảnh hưởng.
Lỗ hổng này được gán mã CVE-2021-40847 và ảnh hưởng tới các model router sau:
-
R6400v2 (vá lỗi bằng bản firmware 1,0,4,120)
-
R6700 (vá lỗi bằng bản firmware 1,0,2,26)
-
R6700v3 (vá lỗi bằng bản firmware 1,0,4,120)
-
R6900 (vá lỗi bằng bản firmwaren 1,0,2,26)
-
R6900P (vá lỗi bằng bản firmware 3,3,142_HOTFIX)
-
R7000 (vá lỗi bằng bản firmware 1,0,11,128)
-
R7000P (vá lỗi bằng bản firmware 1,3,3,142_HOTFIX)
-
R7850 (vá lỗi bằng bản firmware 1,0,5,76)
-
R7900 (vá lỗi bằng bản firmware 1,0,4,46)
-
R8000 (vá lỗi bằng bản firmware 1,0,4,76)
-
RS400 (vá lỗi bằng bản firmware 1,5,1,80)
Theo nhà nghiên cứu bảo mật Adam Nichols của hãng GRIMM, lỗ hổng này nằm trong Circle, một thành phần của bên thứ ba trong firmware. Nó cung cấp các tính năng kiểm soát cho phụ huynh trong các thiết bị Netgear.
Nguy hiểm hơn, vấn đề liên quan đến cơ chế cập nhật (deamon) của Circle, được bật để chạy theo mặc định ngay cả khi router chưa được thiết lập để giới hạn thời gian truy cập. Điều này dẫn tới việc hacker có thể thực hiện RCE dưới quyền root thông qua tấn công Man-in-the-Middle (MitM).
Hi vọng những chia sẻ trên của FUNiX sẽ giúp bạn cẩn thận hơn trong việc bảo mật RCE.
Lương Thuận – Tổng hợp từ Group 7Zone
ĐĂNG KÝ TƯ VẤN HỌC LẬP TRÌNH TẠI FUNiX
Bài liên quan
Bài liên quan
Semantic Caching là gì? Khi nào có thể giảm chi phí LLM
Semantic Caching tìm truy vấn đã lưu gần nghĩa với yêu cầu mới để dùng lại phản hồi thay vì gọi model. Cơ chế thường dùng embedding và tìm kiếm tương đồng, nhưng câu gần nghĩa chưa chắc phù hợp...
Dùng AI tóm tắt tài liệu: cách giữ đúng ý và không bỏ sót nguồn
Dùng AI tóm tắt tài liệu giúp rút ý chính hoặc tìm thông tin khi nêu rõ mục đích. Yêu cầu trích nguồn, tách nội dung gốc khỏi suy luận, kiểm tra số liệu và ngoại lệ trên bản gốc....
Viết unit test bằng AI: tạo ca kiểm thử và phát hiện khoảng trống
Viết unit test bằng AI giúp gợi ý test từ hợp đồng hàm, ví dụ và nhánh logic. Xem code tạo được là bản nháp: kỹ sư xác minh assertion, thêm ca biên, chạy test và đối chiếu yêu cầu....
AI Agent cho pháp chế nội bộ: hỗ trợ gì và giới hạn ở đâu?
AI Agent cho pháp chế nội bộ có thể tra cứu trong kho tài liệu được phép, trích điều khoản, lập checklist và soạn bản nháp. Chuyên viên cần xác minh nguồn, phiên bản và ngữ cảnh trước khi dùng....
Model Gateway là gì? Khi nào ứng dụng AI cần một lớp quản lý model?
Model Gateway là lớp trung gian quản lý lời gọi từ ứng dụng tới một hoặc nhiều model AI. Nó có thể áp dụng xác thực, quota, routing, timeout và telemetry theo cấu hình. Gateway phù hợp khi nhiều ứng...
Kỹ sư IT là gì? Công việc, kỹ năng và hướng bắt đầu
Kỹ sư IT là gì? Công việc, kỹ năng và hướng bắt đầu Kỹ sư IT là cách gọi rộng cho người thiết kế, xây dựng, triển khai hoặc duy trì hệ thống công nghệ thông tin. Cụm từ này...
Kỹ năng làm việc nhóm của kỹ sư phần mềm gồm những gì?
Kỹ sư phần mềm làm việc nhóm hiệu quả bằng cách làm rõ yêu cầu, chia sẻ thay đổi qua Git, review có căn cứ, kiểm thử và ghi lại quyết định. Báo sớm khi bị chặn giúp đồng đội...
HTML là tên viết tắt của cụm từ nào? Giải thích dễ hiểu
HTML là tên viết tắt của cụm từ nào? HTML là viết tắt của HyperText Markup Language, nghĩa là ngôn ngữ đánh dấu siêu văn bản. HTML dùng các phần tử để tổ chức nội dung trang web như tiêu...
Đăng ký nhận bản tin
×
×
Bình luận (0
)