CVE-2020-26919

Суть уязвимости

Уязвимость CVE-2020-26919 — это недостаток контроля доступа на уровне функций (Missing Function Level Access Control, MFAC) в веб-интерфейсе управления коммутаторами NETGEAR JGS516PE.

• Как это работает: Веб-интерфейс устройства содержит скрытые API-эндпоинты или функции, которые не должны быть доступны обычным пользователям.
• Как это используют: Злоумышленник, имеющий доступ к веб-интерфейсу (даже с правами гостя или низкоуровневого пользователя), может отправлять прямые HTTP-запросы к этим скрытым функциям. Это позволяет ему выполнять привилегированные действия без авторизации, например:
  • Изменять конфигурацию устройства.
  • Получать чувствительную системную информацию.
  • Нарушать работу сети.

Как исправить

Единственный надежный способ устранения — обновление встроенного ПО (прошивки) устройства до версии, в которой данная уязвимость исправлена.

1. Определите текущую версию прошивки.

   • Войдите в веб-интерфейс коммутатора.
   • Перейдите в раздел Maintenance -> Firmware.
   • Запишите номер версии Current Firmware Version.

2. Загрузите и установите патченную прошивку.

   • Перейдите на официальный сайт NETGEAR в раздел загрузок для модели JGS516PE.
   • Скачайте и установите прошивку версии 2.6.0.48 или новее. Именно в этой версии уязвимость была устранена.
   • Процесс обновления обычно выполняется через веб-интерфейс в том же разделе Maintenance -> Firmware.

   Внимание: Перед обновлением обязательно сохраните текущую конфигурацию устройства (опция Backup в разделе Maintenance). Процесс обновления может занять несколько минут и приведет к перезагрузке устройства.

Временное решение

Если немедленное обновление невозможно, примите следующие меры для снижения риска:

1. Ограничьте доступ к интерфейсу управления.

   • Настройте правила брандмауэра на upstream-маршрутизаторе, чтобы заблокировать входящий доступ к порту веб-интерфейса коммутатора (по умолчанию HTTP/80, HTTPS/443) из внешних сетей (WAN/Интернет).
   • Ограничьте доступ к веб-интерфейсу только с доверенных IP-адресов внутренней сети, если такая функция есть в настройках коммутатора.

2. Измените учетные данные по умолчанию.

   • Убедитесь, что пароль администратора веб-интерфейса изменен на уникальный и сложный. Это не устранит уязвимость, но усложнит первоначальный доступ злоумышленника к интерфейсу.

3. Отключите неиспользуемые службы.

   • Если вам не требуется удаленный веб-доступ, рассмотрите возможность полного отключения веб-интерфейса через консоль (CLI) или локальный доступ и перехода на управление только через консольный порт (CLI). Это кардинально снизит поверхность атаки.
   • Проверьте и отключите другие ненужные сетевые службы (например, SNMP, Telnet), если они не используются.

Важно: Эти меры лишь снижают вероятность эксплуатации уязвимости, но не устраняют ее. Обновление прошивки остается критически необходимым действием.