CVE-2015-1187

Narzędzie ping dostępne w interfejsie webowym urządzeń nie waliduje poprawnie parametru ping_addr przekazywanego do endpointu ping.ccp. Atakujący może osadzić w wartości tego parametru dowolne polecenia systemowe, które zostaną wykonane przez urządzenie w kontekście procesu obsługującego żądanie. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, a wektor sieciowy sprawia, że jest możliwy do przeprowadzenia zdalnie.

Atakujący może zdalnie wykonać dowolny kod na podatnym urządzeniu, uzyskując pełną kontrolę nad jego systemem operacyjnym, co może prowadzić do przejęcia sieci, modyfikacji konfiguracji, wycieku danych lub wykorzystania urządzenia jako punktu wejścia do dalszych ataków.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory D-Link SAP10052). Jeśli aktualizacja nie jest dostępna dla danego modelu, należy rozważyć ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych adresów IP lub całkowite wyłączenie zdalnego dostępu do panelu webowego.

D-Link DIR-626L (firmware), D-Link DIR-636L (firmware), D-Link DIR-808L (firmware) oraz inne urządzenia D-Link i TRENDnet wskazane w referencjach producenta

Publicznie dostępne exploity zostały opublikowane w serwisie Packet Storm Security oraz liście Full Disclosure (marzec 2015). CVE zostało opublikowane formalnie w 2017 roku, mimo że exploity były dostępne publicznie już od 2015 roku.

CISA KEV — szczegółyi

Dostawcai

D-Link and TRENDnet

Produkti

Multiple Devices

Data dodania do KEVi

25 marca 2022

Termin remediation (USA)i

15 kwietnia 2022(po terminie)