未打补丁：网件路由器易受黑客 可执行任意shell命令

　　做梦洗头

　　多个型号的网件（Netgear）路由器，被曝存在一个已公开披露的漏洞，而黑客可以借此轻松攻破它们，并在受影响的设备上执行任意 shell 命令。周五的时候，一名研究人员利用线rm 开发了一个漏洞。他表示，自己早在 8 月份就将该漏洞给了 Netgear，但对方迟迟没有回应。

　　问题出在这些路由器基于 Web 的管理界面上，由于其在输入检查上处理不当，导致可在受影响设备上注入和执行任意 shell 命令。

　　位于卡内基梅隆大学的美国 CERT 协调中心将该漏洞评为“严重”（Critical），通用安全漏洞评分系统（CVSS）给它打出了 9.3/10 的评分。

　　在某些情况下，将 IP 地址替换为 或也会得出同样的结果，因为部分 Netgear 路由器会将这些域名解析到本地 IP 地址。

　　鉴于该漏洞可通过一个 HTTP 请求实现（并且无需身份验证），黑客们可轻松通过“跨站点请求伪造”（CSRF）的方式对受影响的路由器发起。

　　为 CSRF ，用户应该变更路由器的默认 IP 地址（大多数是 192.168.0.1）。

　　此前还过有黑客把持着被恶意软件感染的物联网设备僵尸网络，以发起大规模的 DDoS 。