Vendedor alega zero-day de RCE pré-autenticação em roteador NETGEAR
Um vendedor anuncia em fórum a venda de um zero-day de execução remota de código pré-autenticação em roteador NETGEAR. Não há CVE, modelo específico, confirmação da NETGEAR nem correção divulgados. Segundo o vendedor, a falha daria controle total do roteador e da rede, com persistência que sobrevive à restauração de fábrica; mantenha o firmware atualizado e a administração fora da internet enquanto a alegação não é verificada.
O que aconteceu
Um vendedor anuncia em fórum a venda de um zero-day de execução remota de código pré-autenticação em roteador NETGEAR. Segundo ele, a falha daria controle total do roteador e da rede. Não há modelo, CVE, confirmação do fabricante nem correção divulgados.
Por que importa
O roteador é a porta de entrada de todo o tráfego; segundo o vendedor, o ataque permitiria desviar a navegação dos funcionários para páginas falsas, interceptar tráfego e roubar senhas, incluindo credenciais de rede e de provedor. É uma alegação não verificada, mas o potencial é grave se confirmada. Quem usa roteadores NETGEAR está no escopo possível.
O que fazer
Atualize o firmware de todos os roteadores NETGEAR para a versão mais recente. Tire a interface de administração da internet e troque as senhas de administrador e do Wi-Fi. Acompanhe os avisos oficiais da NETGEAR até a alegação ser confirmada ou negada.
Para o time técnico
- Afetados
- Roteadores NETGEAR (modelo não especificado) · Roteadores NETGEAR; modelo e versões não especificados.
- Exploração
- Sem PoC pública e sem exploração relatada. Venda do zero-day anunciada em fórum, relatada pelo dbugs (via @ptdbugs).
- Correção
- Nenhuma correção divulgada; a NETGEAR não se manifestou nas fontes.
- Vetor
- Roteador NETGEAR; falha de execução remota de código pré-autenticação, sem necessidade de login. Modelo, versão e condição de exposição não detalhados pelo vendedor.
- Mais detalhes
- Segundo o vendedor, a exploração daria acesso ao hash da senha de administrador, à chave do Wi-Fi, a credenciais de ISP e SMB e a chaves TLS privadas; permitiria redirecionar o DNS dos clientes da rede para servidores do atacante para phishing, interceptar tráfego e manter persistência via cron ou modificação de firmware, que sobrevive à restauração de fábrica. O vendedor cita ainda adição do aparelho a botnet, uso para atacar outros dispositivos IoT e derrubada do roteador.
Linha do tempo
Primeiro registro: oferta de venda do zero-day em fórum.
Fontes 1 fonte
- @ptdbugs @ptdbugs
