Netgear beseitigt 50 teils schwerwiegende Sicherheitslücken in diversen Produkten

Netgear hat in den letzten Wochen über 50 Sicherheitslücken ausbügeln müssen, die unter anderem in Routern, Switches, NAS-Systemen und Access Points der Marke zu finden waren. 20 davon musste das Unternehmen allein schon mit der Priorität „high“ einstufen, die restlichen 30 immer noch mit „medium“. Diverse Unternehmen für Netzwerk-Sicherheit wie beispielsweise Beyond Security hätten Netgear demnach viele der Lücken gemeldet, parallel aber auch kritisiert, dass das Unternehmen bisher noch zu nachlässig mit notwendigen Patches gewesen sei-Zu den wohl gefährlichsten (nun behobenen) Risiken gehörten unter anderem sogenannte Command Injection-Lücken, die in der ReadyNAS Überwachungs-App zu finden waren. Selbige gab es aber anscheinend auch in 17 unterschiedlichen Routern, wie Martin Rakhmanov von Trsutwave zu berichten weiß. Hiernach ließen sich sämtliche mit der angreifbaren Firmware bestückten Geräte von jedem lokal angeschlossenen Nutzer angreifen. Wäre die Option „Remote Administration“ standardmäßig nicht deaktiviert, könnte im Grunde jedermann über das Internet „ziemlich simpel“ auf entsprechende Router zugreifen.

Laut Netgear gingen die meisten der gemeldeten Sicherheitslücken auf das Konto des erfolgreich gelaufenen Bug Bounty-Programms, das im Januar in Partnerschaft mit Bugcrowd gestartet ist. Auch IoT-Geräte seien immer wieder betroffen.

Netgear veröffentliche seit geraumer Zeit immer wieder große Updates für eine Vielzahl in letzter Zeit gemeldeter Lücken. Außerdem arbeite man derzeit an einer Art automatisiertem Prozess, der das Verteilen von kleineren Fixes noch schneller hinbekommen soll.

Doch nicht nur Netgear stand in der letzten Zeit immer wieder wegen schlechter Update-Politik in der Kritik, gerade auch Anbieter von Routern und IoT-Geräten kümmern sich laut Noam Rathaus von Beyond Security immer wieder viel zu wenig um die Sicherheit dieser und sorgen viel zu selten für das Ausbessern von eventuell bestehenden Schwachstellen. Laut Rathaus ließen sich relativ schnell hunderte bis hunderttausende Geräte ausfindig machen, bei denen man außer der IP-Adresse keinerlei weitere Informationen für den Zugriff drauf benötigen würde.

(via Threatpost)