Netgear varnar för säkerhetsbrist i routrar

Svårt det där med auto-patchning. Lite oskönt att starta om automatiskt och förlora uppkopplingen en kort stund (mitt i ett spel), även om det är konsument-produkter där man kanske inte kan förvänta sig garanterad upptid. Men att ladda hem den och sedan tända en röd lampa som blinkar vore väl en bra medelväg. Då har man chansen att logga in och hoppa över uppdateringen om det visar sig att patchen gör mer skada än nytta. Annars implementeras den om routern startar om manuellt. Frågar också om blinkande lampor hjälper när routern står i ett skåp/källare.

Förmodligen skulle det göra produkterna dyrare, för det finns väl inte plats att lagra väntade uppdateringar för länge.

Routern borde ha någon funktion som informerar användaren om detta. Att omdirigera en webbsida till en varningstext istället är nog att ta i för mycket. Kanske att man måste ange en epost-adress eller liknande? Många lär ljuga, och kanske inte ens har kvar adressen många år senare när/om första varningen kommer, men bättre än inget.

Alternativt bara blinka när en uppdatering finns tillgänglig, och när användaren loggar in och installerar den, så laddas den ner där och då. Att automatiskt installera vid omstart är lite riskabelt, om användaren inte är medveten om att den uppdateras. Tar uppstarten lite för lång tid så kanske användaren startar om den igen, eller av nån annan anledning ångrar sig och stänger av den mitt i.

Routers som har automatiska uppdateringar brukar tyvärr vara en ren mardröm genom att de inte berättar när de uppdaterar, så en ovan användare märker bara att nätet plötsligt inte funkar, varpå de går och bryter strömmen för att försöka starta om… mitt i flashningen av ny firmware.

Ett annat vanligt förekommande problem är att automatisk uppdatering inte fungerar, som den t.ex. inte gör på min Netgear-router hemma. Den meddelar bara att det inte finns en nyare firmware, trots att det gör det.

Detta förutsätter tyvärr att användaren är kunnig, intresserad och kollar på sin router regelbundet. Min erfarenhet är att gemene man inte har någon av de egenskaperna, samt att de aldrig loggar in utan att den enda interaktion de har med routern är att rycka ur nätadaptern när nätet inte fungerar.

Automatiska uppdaterar fungerar på min Asus router iallafall och jag har än så länge aldrig blivit störd av en uppdatering. Skulle tippa på att den gör uppdatering under natten

I så fall återstår ju bara att tillverkaren sköter uppdateringarna automatiskt. Det vore ju det bästa för alla. Att ha detta som ett konfigurerbart val innebär ju bara att vissa sätter den optionen och sedan, som du nämner, är ointresserad i det långa loppet.
Säkerheten i routrar är ju inte i första hand att skydda användaren, utan att förhindra att dessa enheter kidnappas i bot-nätverk utan användarens vetskap.

Möjligen någon lösning där passivitet efter en tid ändå innebär uppdatering.

Vet inte om någon tycker bättre om det (se Windows Update t.ex.), men det är ju bättre i det avseendet.

Japp, detta är standardinställningen för automatiska uppdateringar på min Asus router

Den enda gången jag möjligtvis skulle kunna vara uppe vid den tiden är när ESC är, om jag vill se eftersnack eller liknande

Visst, jag motsätter mig inte det, jag bara konstaterar att auto-uppdateringar ofta funkar dåligt i bästa fall, trots att routertillverkare haft flera decennier på sig att få till något som fungerar.

All konsumentdynga borde verkligen autopatchas.
Önskar man bättre kontroll får man köpa enterprise.

Min Nighthawk R7000 uppdaterar firmware automatiskt 👍

Ja, det känns väl som en sån typiskt grej som bara lämnas som den är därför att det inte säljer fler enheter att skärpa sig. I det avseendet är det ju uppenbart mer effektivt med ett AI-klistermärke på kartongen, något slags rymdskeppsdesign och minst 15 antenner som spretar åt alla håll.

Om det blir så att de mer eller mindre tvingas att ha automatiska uppdateringar som standard så kommer de ju få en anledning att fixa sina grejer, antar jag...

Ursäkta min idioti här men måste fråga (jag är sämst på sånt här):

Vi har en av de drabbade routrarna, jag går in i settings på routern, kollar om updateringen finns via internet, står att den vi har är den senaste (fast att det inte är det). Går in på netgears hemsida och laddar ner hotfixen, laddar upp den manuellt i routern, så står det att den uppdaterar firmware. Sen startar den om sig efter uppdateringen och då funkar inget. Väntar säkert 10 minuter, drar strömmen, kopplar i och väntar på att den startar. Då funkar allt, MEN kollar jag firmwareversion så står den fortfarande kvar på den gamla versionen.

Vad hände? Jag antar att uppdateringen inte funkade? Vi har autoupdate aktiverad, ska jag bara vänta tills de uppdaterar via den? Tack för hjälpen

Eftersom det inte verkar finnas någon bra information om vad sårbarheterna innebär, så är det svårt att säga hur mycket risk du utsätter dig för genom att köra ouppdaterad mjukvara, men det låter inte bra.

”Inget funkar” är inte en tillräckligt bra felbeskrivning för att kunna ge dig vettig hjälp.

Som bakgrund har många konsumentroutrar två partitioner, så att de kan falla tillbaka på den gamla installationen om uppgraderingen misslyckades. Något behövs för att ”comitta” övergången till den nya installationen, exakt vad är en implementationsdetalj, men troligen en lyckad boot in i det uppgraderade systemet. Så det har antagligen inte gått i mål för dig.

I din situation hade jag nog slagit på uppgraderingen igen och låtit den stå över natten. Om det fortfarande inte tar uppgraderingen i mål så hade jag reklamerat köpet till säljaren. Om det inte går hade jag köpt ny router.

Några av de drabbade modellerna har stöd för OpenWrt och lätt installation via webbgränssnittet. Det kan i alla fall vara ett sätt att få lite begagnatvärde ur routern, om den är av rätt modell. Om du klarar av OpenWrt så är det ett utmärkt alternativ som säkerligen har bättre säkerhet och kommer uppdateras under många år framöver. Länk till OpenWrt firmware selector. Läs instruktionerna för just din modell på Wikin. Använd firmware för just din modell, inget annat.

Tack för svar. Routern har deras DumaOS via webbläsare så det är där jag går in på routern. Använder dator kopplad med kabel. Efter den startar om så har vi inte internet via kabel och det Går inte att koppla sig på det trådlösa nätverket heller. Först efter jag dragit strömmen hoppar det som sagt igång igen.

Eftersom jag inte kommer åt routern öht efter omstart så vet jag inte om det går att se vad som orsakade problemet?

Nu vet jag inte vilken router du har, men vad jag kan se enligt deras manual så står det: Note: The correct firmware file uses an .img extension.

Nu undrar jag ifall det kan ha blivit något fel hos Netgear med deras hotfix till Netgear XR1000/v2 och det är därför det inte funkar? Eller har jag missförstått något kanske?

Med firmware version 1.1.0.22 - Hot Fix till Netgear XR1000v2 ser jag ingen .img fil.
Det finns en html fil som innehåller release notes och en fil som slutar på .chk.
Samma med firmware Version 1.0.0.74 - Hot Fix till Netgear XR1000.

Tar jag ner firmware versionen till Netgear XR500 så ser jag en .img fil i zip filen.

Så då är frågan om du såg en .img fil i zip filen du laddade ner från Netgear?

Nej det fanns ingen sån fil. Jag såg också att det stod det där med img-fil men eftersom det bara fanns en chk så tänkte jag att det måste vara den. Kanske var därför det inte funkade då. Ändå så stod det att router is updating firmware I en blå ruta så fort jag laddade upp den filen.

Då finns det inte så mycket att göra i nuläget eller?

Har jag på något sätt sabbat routern genom det här? 😱

Du har inte sabbat routern.
Kollade på det lite mer. Det verkar som manualen kanske är lite missvisande.

Hittade en annan sida på Netgear: How do I manually update the firmware on my NETGEAR router?

Där står det i punk nr 11: Click Choose File or Browse, then locate and select the firmware file that ends in .img or .chk.

Firmware filen kan med andra ord sluta på .chk och måste inte vara en .img fil.

Vet inte om denna information kan vara till hjälp?

På punk nr 12 står det:
Click the Upload button.
The firmware update starts and the router restarts. The firmware update process takes about two minutes.

Caution: After you start the firmware update, do not try to go online, turn off the router, or do anything else to the router until it finishes restarting.

Men i manualen står det:
WARNING: To avoid the risk of corrupting the firmware, do not interrupt the update.
For example, do not close the browser, click a link, or load a new page. Do not turn
off the router.

The router restarts after the firmware is uploaded and updated. The update process
typically takes about one minute.

Jaha okej, vad tur att de är så tydliga....

Ah det tog ett par minuter efter jag klickat upload sen blev den sidan vit typ. Och jag rörde ingenting, väntade ca 10 minuter, kollade lamporna på routern och allt lyste förutom internetlampan. Provade då att gå in på den igen via datorn men funkade inte, kollade nätverk på datorn som sa att det fanns lokalt nätverk men ingen tillgång till internet. Det var då jag drog strömmen till routern.

Kan det ta ännu längre tid än så för den alltså?

Du skulle kunna testa och uppdatera genom att använda en annan webbläsare eller i ett privat fönster och se om det hjälper. Kolla också en extra gång att du verkligen har rätt version på firmware. Det är till exempel olika versioner till XR1000 och XR1000 v2.

Enligt dom själva så ska det inte behöva ta mer än ett par minuter efter att den startat om. Men det kanske finns fall där det tar längre, det har jag inte koll på.

Har en xr1000, fanns ju typ 6 alternativ på den när man skrev in den på deras sida... Men tror jag tog rätt för den hotfixen är numret över min nuvarande firmware.

Blir fan less på allt sånt här... Om jag helt enkelt struntar i att uppdatera lär de väl skicka ut den i en sån uppdatering som görs automatiskt iom att jag har det aktiverat? Eller är det till att hoppas på för mycket?

Man tycker att du borde få uppdateringen om du har automatiska uppdateringar aktiverat. Om det är en ny uppdatering så kan det vara så att det rullas ut gradvis, ifall det är någon okänd bugg i uppdateringen så drabbas inte alla användare. Om det är så i detta fallet vet jag inte. Men det borde fortfarande gå att uppdatera manuellt.

Det står att du har 1.0.0.64 nu?

Netgear skriver också:
Best Practices for Updating Firmware

If your product is supported by one of our apps, using the app is the easiest way to update your firmware.

Så det är också ett alternativ att testa.

Det är lite förvirrande vad som gäller.
Söker man på Netgear XR1000 så kan man hitta information om en hotfix version 1.0.0.74 som verkar har släpps under sommarn 2024.
Enligt https://community.netgear.com/t5/Nighthawk-Pro-Gaming-Routers...

2025-02-01 publicerar de https://kb.netgear.com/000066558/Security-Advisory-for-Unauth...
NETGEAR has released fixes for an unauthenticated RCE security vulnerability on the following product models:

• XR1000 fixed in firmware version 1.0.0.74

• XR1000v2 fixed in firmware version 1.1.0.22

• XR500 fixed in firmware version 2.3.2.134

Så verkar inte vara någon ny version till XR1000 då den har samma firmware version nummer som släppes sommarn 2024? Någon annan kanske har en förklaring till det?

Angående vilken router man har:
The label under the router should display a XR1000 v2 or version 2 text information on the label for a version 2 XR1000. Version 1 XR1000 will not display a version number text on the label.

Om du har XR1000: https://www.netgear.com/support/product/xr1000/#download

Om du har XR1000 v2: https://www.netgear.com/support/product/xr1000v2/#download

Ja precis, 1.0.0.64 är den nuvarande versionen. Tittat under routern kan inte se någon info om v2-varianten där.
Har deras app som jag aldrig använder. Testar att leta efter uppdatering där också men får först error 2 gånger när den söker och den tredje gången att det inte finns någon ny firmware tillgänglig där heller.

Får kanske kontakta dem direkt och höra?

Det sista jag kan komma på att testa är att göra en återställning (reset) på routern och se om det går att uppdatera den då.
Ifall du gör det, så vill jag bara förtydliga att användarnamn efter en återställning är admin och lösenord är password.

Du kan också göra en backup på din konfiguration innan du kör en återställning på routern.

Hur det går till kan du läsa i manualen.

Om inte det hjälper så har jag inga flera förslag. Hoppas det löser sig för dig. Annars kanske det är dags att börja fundera på att skaffa en ny router.

Lycka till!