关键信息 漏洞概述 组件: FunJSQ 影响: NETGEAR路由器和Orbi Wi-Fi系统 CVE ID: - CVE-2022-40620: 不安全的更新机制 - CVE-2022-40621: 未验证的命令注入 漏洞细节 不安全的更新机制: - 未验证的软件更新可以导致中间人攻击（MITM）注入恶意软件。 - HTTPS请求在脚本中始终用 选项进行，禁用了证书验证。 未验证的命令注入: - 在处理传入的请求时存在命令注入漏洞。 - 攻击者可以通过控制 , , 等参数注入任意命令。 影响版本 NETGEAR Routers: - R6230: <1.1.0.112 - R6260: <1.1.0.88 - R7000: <1.0.11.134 - R8900: <1.0.5.42 - R9000: <1.0.5.42 - XR300: <1.0.3.72 Orbi Wi-Fi Systems: - RBR20, RBS20: <2.7.2.26 - RBR50, RBS50: <2.7.4.26 修复版本 NETGEAR Routers: - R6230: 1.1.0.112 - R6260: 1.1.0.88 - R7000: 1.0.11.134 - R8900: 1.0.5.42 - R9000: 1.0.5.42 - XR300: 1.0.3.72 Orbi Wi-Fi Systems: - RBR20, RBS20: 2.7.2.26 - RBR50, RBS50: 2.7.4.26 CVSS评分 风险评估: 7.7（CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L） 时间线 2022-05-19: 向NETGEAR发送协调披露请求 2022-06-10: NETGEAR确认并提供联系信息和PGP密钥 2022-06-11: 讨论漏洞细节 2022-06-15: 双方达成修复和披露协议 2022-09-08: NETGEAR发布其咨询 2022-09-12: ONEKEY发布其咨询