发现Lenovo R3220无线路由器有密码泄露的漏洞-联想乐享知识库

发现Lenovo R3220无线路由器有密码泄露的漏洞 问题:漏洞与防护 故障现象: Lenovo 安全公告：LEN-13634 潜在影响：通过向 Web 管理服务器发出伪造的请求而造成密码泄露 严重性：高 CVE ID：CVE-2017-5521 摘要描述： 现已在 Netgear 制造的 Lenovo R3220 无线路由器中发现一个漏洞，在禁用密码恢复功能时，该漏洞会造成 Web GUI 登录密码泄露。当攻击者访问内部网络或路由器上启用了远程管理时，可能会出现此漏洞。缺省情况下，远程管理处于关闭状态，但用户可通过高级设置开启远程管理。解决方案: 应采取哪些措施进行自我保护： 按照以下步骤将固件更新到最新版 1.0.0.20 或更高版本： 1、登录到设备 GUI。单击 “从因特网上检测新版本”，如有新版本固件，路由器将自动检测到它。 2、单击 “是” 以更新固件。 以下变通方法也可缓解此漏洞的危害： 1、手动启用设备上的密码恢复功能。 有关详细信息，请访问 Netgear 的站点：配置路由器管理密码恢复。 2、确保禁用了远程管理。 缺省情况下禁用远程管理。有关详细信息，请查看产品的用户手册。 如果不同时完成这两步，则仍有可能造成密码泄露 产品影响： 固件版本低于 1.0.0.20 的 Lenovo R3220 无线路由器 其他信息和参考资料： http://kb.netgear.com/30632/Web-GUI-Password-Recovery-and-Exposure-Security-Vulnerability?cid=wmt_netgear_organic https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2017-003/?fid=8911 修订历史： 修订版本：1.0 日期：03/30/2017 描述：初始版本 最新信息请关注 Lenovo 关于您设备和软件的更新和公告。此公告内的信息“按原样”提供，我们不对内容作任何保证。Lenovo 保留随时更改或更新本公告的权利。