发现Lenovo R3220无线路由器有密码泄露的漏洞

Lenovo 安全公告：LEN-13634

潜在影响：通过向 Web 管理服务器发出伪造的请求而造成密码泄露

严重性：高

CVE ID：CVE-2017-5521

摘要描述：

现已在 Netgear 制造的 Lenovo R3220 无线路由器中发现一个漏洞，在禁用密码恢复功能时，该漏洞会造成 Web GUI 登录密码泄露。当攻击者访问内部网络或路由器上启用了远程管理时，可能会出现此漏洞。缺省情况下，远程管理处于关闭状态，但用户可通过高级设置开启远程管理。

应采取哪些措施进行自我保护：

按照以下步骤将固件更新到最新版 1.0.0.20 或更高版本：

1、登录到设备 GUI。单击 “从因特网上检测新版本”，如有新版本固件，路由器将自动检测到它。

2、单击 “是” 以更新固件。

以下变通方法也可缓解此漏洞的危害：

1、手动启用设备上的密码恢复功能。

有关详细信息，请访问 Netgear 的站点：配置路由器管理密码恢复。

2、确保禁用了远程管理。

缺省情况下禁用远程管理。有关详细信息，请查看产品的用户手册。

如果不同时完成这两步，则仍有可能造成密码泄露

产品影响：

固件版本低于 1.0.0.20 的 Lenovo R3220 无线路由器

其他信息和参考资料：

http://kb.netgear.com/30632/Web-GUI-Password-Recovery-and-Exposure-Security-Vulnerability?cid=wmt_netgear_organic

http://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2017-003/?fid=8911

修订历史：

修订版本：1.0

日期：03/30/2017

描述：初始版本

最新信息请关注 Lenovo 关于您设备和软件的更新和公告。此公告内的信息“按原样”提供，我们不对内容作任何保证。Lenovo 保留随时更改或更新本公告的权利。