CVE-2013-10048

D-Link DIR-300/DIR-600: nieuwierzytelniony command injection z uprawnieniami root

CVSS 9.3v4.0pub. 2025-08-01upd. 2025-09-23

W routerach D-Link DIR-300 (rev B) oraz DIR-600 (firmware ≤ 2.13 / ≤ 2.14b01) istnieje podatność typu OS command injection w endpoincie command.php, dostępnym bez uwierzytelnienia. Zdalny atakujący może przejąć pełną kontrolę nad urządzeniem, wykonując dowolne polecenia powłoki z uprawnieniami root.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability exists in various legacy D-Link routers—including DIR-300 rev B and DIR-600 (firmware ≤ 2.13 and ≤ 2.14b01, respectively)—due to improper input handling in the unauthenticated command.php endpoint. By sending specially crafted POST requests, a remote attacker can execute arbitrary shell commands with root privileges, allowing full takeover of the device. This includes launching services such as Telnet, exfiltrating credentials, modifying system configuration, and disrupting availability. The flaw stems from the lack of authentication and inadequate sanitation of the cmd parameter.

🤖 Analiza AI

Jak działa

Endpoint command.php akceptuje żądania HTTP POST bez żadnego mechanizmu uwierzytelniania. Parametr cmd przekazywany w treści żądania nie jest odpowiednio sanityzowany, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych. Polecenia te są wykonywane bezpośrednio przez system operacyjny urządzenia z uprawnieniami root. Wystarczy wysłanie spreparowanego żądania POST przez sieć, bez konieczności posiadania jakichkolwiek danych logowania.

Skutki

Atakujący uzyskuje pełne przejęcie urządzenia z uprawnieniami root, co umożliwia m.in. uruchomienie usług takich jak Telnet, kradzież danych uwierzytelniających, modyfikację konfiguracji systemowej oraz zakłócenie dostępności urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na legacy status urządzeń zaleca się weryfikację dostępności aktualizacji firmware u producenta, a w przypadku jej braku — izolację urządzeń od publicznej sieci Internet oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych hostów w sieci lokalnej. Rozważyć należy wymianę urządzeń na aktualne modele objęte wsparciem producenta.

Kogo dotyczy

D-Link DIR-300 rev B oraz D-Link DIR-600 z firmware w wersji ≤ 2.13 (DIR-300) i ≤ 2.14b01 (DIR-600)

Uwagi

Publicznie dostępne są exploity w bazie Exploit-DB (wpisy 24453 i 27528) oraz moduł w frameworku Metasploit (dlink_command_php_exec_noauth.rb), co znacząco obniża próg wejścia dla potencjalnych atakujących. Urządzenia z tej serii są uznawane za legacy i mogą nie otrzymać oficjalnych aktualizacji firmware.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X