讨厌的孩子。由于一项可选的家长控制功能(显然并非可选)，近12款广泛使用的Netgear家用Wi-Fi路由器都存在严重的安全缺陷，需要修补。
故障型号为R6400v2、R6700、R6700v3、R6900、R6900P、R7000，R7000PR7850 R7900,R8000和RS400大多数都在“夜鹰”那一行，而且外形几乎一模一样。现在所有的固件更新都可以使用。
这个漏洞可能会被坏人利用，他们可以进入你的Wi-Fi网络，这可能并不像看起来那么难，然后利用这个漏洞控制你的家庭或小型办公室网络，把你送到互联网上的任何地方。
因为Netgear在销售家用路由器时使用了一些误导性的术语——例如，R7000也被标为“夜鹰AC1900智能WiFi双频千兆路由器”——你可能想把路由器翻过来，看看底部的标签上是否有真正的型号名称。
如何更新您的Netgear路由器的固件
更新路由器的固件，Netgear的安全咨询推荐到它的支持页面https://www.netgear.com/support/，然后输入你的模型号码。从那里，您将被带到模型的支持页面。你可以下载一个压缩文件到你的电脑，并解压缩文件。
然后使用你最喜欢的浏览器访问路由器的管理界面(很可能在http://192.168.1.1)，点击高级选项卡，选择管理，然后点击路由器更新。你可以从那里上传文件到路由器。
然而，对于大多数路由器来说，直接下载固件更新到路由器上同样容易。按照上面的网页管理界面说明，然后点击检查更新按钮，而不是从你的PC或Mac上上传文件。
易受攻击的迪士尼圈软件
这里的问题源于迪士尼设计的Circle家长控制功能，该功能于2017年作为可选附加功能推出到Netgear Nighthawk和Orbi网络路由器上，其中一些路由器已经在客户家中安装。
今年早些时候，奥比斯和更新的Wi-Fi - 6夜鹰获得了由Netgear内部构建的家长控制软件，而更老的夜鹰型号的Circle服务在2020年底停止了。
这里有个陷阱:如果你使用的是受影响的路由器，那么无论你是否为Circle功能每月支付4.99美元的费用，脆弱的Circle软件都会在你的设备上。
“包含该漏洞的Circle更新守护程序在默认情况下是启动的，即使你没有配置路由器使用家长控制功能，”解释说亚当·尼克尔斯华盛顿地区格林安全公司的一篇博客文章。（电脑发出哔哔声早些时候报道过这个故事。)
“虽然它不能解决根本问题，但只要在Circle不使用时禁用易受攻击的代码，就可以防止大多数设备上的攻击。”
换句话说，你遇到了一个问题，这个问题可能是你购买设备后通过固件更新引入到你的设备上的，而这个问题可能不是你自己要求的。
关于Netgear安全补丁的附注
在过去的几年里，我们运行了很多Netgear的路由器安全警报至少两个2020年．因此，我们想重申，Netgear一贯的发现、修补和公开其安全漏洞的政策是一件好事，尽管由此产生了负面的头条新闻。
你没有从其他一些主要路由器制造商那里听说过很多安全漏洞的唯一原因是他们不告诉你这些漏洞。至少我们知道什么时候Netgear路由器出了问题以及如何修复它。
同样的原则也适用于Windows电脑、mac电脑、iphone和安卓手机。所有这些设备都会定期进行安全更新，以修复漏洞，而且效果更好。你不会想要一个从未收到固件更新的路由器。
这是怎么回事?
该缺陷被归类为CVE-2021-40847，是由GRIMM研究人员发现的。他们注意到，在老款的Netgear Nighthawk路由器上有一个名为“Circle”的更新守护程序或小程序。
经过一些探查之后，他们发现Circle更新守护进程以根用户身份运行，默认情况下是启用的，即使禁用了它，也仍然可以利用它。
Nichols在GRIMM博客中写道:“在各种Netgear路由器上的Circle家长控制服务的更新过程允许远程攻击者通过中间人(MitM)攻击获得RCE(远程代码执行)。”
尼科尔斯解释说，由于Netgear的固件更新是通过普通的旧HTTP下载的，并且没有加密，理论上它们可以被拦截、修改，然后以有毒的形式传递给路由器——这是一个经典中间人攻击．
Netgear通过加密固件更新文件并对其进行数字签名来防止这种情况，使攻击者很难读取、更改或安装更改过的固件。
不太圆。它的更新文件只是一个没有任何内部保护的压缩数据库。
格林指出，将恶意代码潜入Circle更新并从那里完全控制一个路由器并不难，这反过来又会让攻击者完全控制你的家庭(或小办公室)的互联网流量。
这可能并不完全是Circle的错。可能是由于固件更新连接中断圆与迪斯尼硬件设备是加密的，消除了加密更新文件的必要性。
如果是这样的话，那么这个新的缺陷可能是由于在将Circle软件移植到Netgear设备上时，在不同的升级模型的裂缝之间出现了一些东西。
你想要的Netgear固件
以下是Netgear网站列出的您希望安装在每台设备上的固件版本。
- R6400v2固件版本1.0.4.120已修复
- R6700固件版本1.0.2.26已修复
- R6700v3固件版本1.0.4.120已修复
- R6900固件版本1.0.2.26已修复
- R6900P固件版本3.3.142_HOTFIX已修复
- R7000固件版本1.0.11.128已修复
- R7000P固件版本1.3.3.142_HOTFIX已修复
- R7850固件版本1.0.5.76修复
- 修正了R7900的固件版本1.0.4.46
- R8000固件版本1.0.4.76已修复
- RS400固定固件版本1.5.1.80
