CVE-2014-7857

D-Link DNS/DNR — obejście uwierzytelnienia i przejęcie konta administratora

CVSS 9.8v3.0pub. 2017-08-25upd. 2026-05-13

Podatność w oprogramowaniu kilku urządzeń NAS firmy D-Link umożliwia zdalnym atakującym ominięcie mechanizmu uwierzytelnienia i zalogowanie się z uprawnieniami administratora bez znajomości hasła. Ze względu na brak wymagań wstępnych (brak uwierzytelnienia, brak interakcji użytkownika, dostęp sieciowy) podatność jest oceniona jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

D-Link DNS-320L firmware before 1.04b12, DNS-327L before 1.03b04 Build0119, DNR-326 1.40b03, DNS-320B 1.02b01, DNS-345 1.03b06, DNS-325 1.05b03, and DNS-322L 2.00b07 allow remote attackers to bypass authentication and log in with administrator permissions by passing the cgi_set_wto command in the cmd parameter, and setting the spawned session's cookie to username=admin.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie HTTP do interfejsu CGI urządzenia, przekazując w parametrze 'cmd' polecenie 'cgi_set_wto'. Wywołanie tego polecenia powoduje utworzenie nowej sesji po stronie urządzenia. Następnie atakujący ustawia ciasteczko (cookie) nowo powstałej sesji na wartość 'username=admin', co skutkuje przyznaniem mu pełnych uprawnień administratora. Mechanizm uwierzytelnienia jest w ten sposób całkowicie pomijany — urządzenie nie weryfikuje tożsamości użytkownika ani poprawności sesji.

Skutki

Atakujący uzyskuje pełny dostęp administracyjny do urządzenia NAS bez żadnych poświadczeń, co pozwala na odczyt, modyfikację lub usunięcie przechowywanych danych, zmianę konfiguracji urządzenia oraz potencjalne wykorzystanie go jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zaktualizować oprogramowanie urządzenia do wersji wyższej niż wskazane w opisie podatności (DNS-320L do co najmniej 1.04b12, DNS-327L do co najmniej 1.03b04 Build0119 i analogicznie dla pozostałych modeli). Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP na poziomie firewall oraz unikanie eksponowania panelu administracyjnego bezpośrednio w Internecie.

Kogo dotyczy

D-Link DNS-320L firmware przed wersją 1.04b12, DNS-327L przed wersją 1.03b04 Build0119, DNR-326 w wersji 1.40b03, DNS-320B w wersji 1.02b01, DNS-345 w wersji 1.03b06, DNS-325 w wersji 1.05b03 oraz DNS-322L w wersji 2.00b07

Uwagi

Szczegółowe informacje techniczne zostały opublikowane w serwisach Packet Storm Security oraz Full Disclosure (maj 2015), a także w publicznym dokumencie doradczym firmy Search-Lab. Dostępność publicznych materiałów opisujących technikę ataku zwiększa ryzyko praktycznego wykorzystania podatności.