Netgear N600 WNDR3400 迄 1.0.0.38 Config File Upload /genie_restore.htm 特権昇格

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
4.5	$0-$5k	0.00

要約情報

このたび、Netgear N600 WNDR3400 迄 1.0.0.38において、重大に分類される脆弱性が見つかりました。該当するのは不明な関数ファイル/genie_restore.htmのコンポーネントConfig File Upload Handlerのです。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。さらに、エクスプロイトが利用可能です。ファイアウォールの制限的な運用を推奨します。

詳細情報

このたび、Netgear N600 WNDR3400 迄 1.0.0.38において、重大に分類される脆弱性が見つかりました。該当するのは不明な関数ファイル/genie_restore.htmのコンポーネントConfig File Upload Handlerのです。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。この問題をCWEでは、CWE-269 と定義しました。この弱点は 2014年04月15日に発表されました、Santhosh Kumar (security_b0x)によって、File 126167として、勧告として（Packetstorm）。アドバイザリーは packetstormsecurity.com で共有されています。

テクニカルな情報があります。この脆弱性の悪用頻度の高さは平均を超えています。さらに、エクスプロイトが利用可能です。現時点では、エクスプロイトの価格は約USD $0-$5kと考えられます。 MITRE ATT&CKプロジェクトは、攻撃手法を T1068 と定義しています。

概念実証に指定されています。 0-dayの場合、推定されるアンダーグラウンドでの価格は約$25k-$100kでした。勧告では次のように指摘されています：

like the same one above the "http://server/genie_restore.htm" the config file can be uploaded which leading to reseting the control to attackers username and password. *.cfg file.

ファイアウォールの制限的な運用を推奨します。

他の脆弱性データベースにも記載されている脆弱性です: X-Force (92993).