CVE-2017-12943

D-Link DIR-600: path traversal umożliwia odczyt haseł bez uwierzytelnienia

CVSS 9.8v3.1pub. 2017-08-18upd. 2026-05-13

Urządzenia D-Link DIR-600 Rev Bx z oprogramowaniem w wersji 2.x zawierają podatność typu path traversal, która pozwala zdalnym atakującym na odczyt plików z systemu bez żadnego uwierzytelnienia. Szczególnie niebezpieczny jest fakt, że exploit umożliwia bezpośrednie ujawnienie hasła administratora urządzenia.

▸ Pokaż oryginał (EN)

D-Link DIR-600 Rev Bx devices with v2.x firmware allow remote attackers to read passwords via a model/__show_info.php?REQUIRE_FILE= absolute path traversal attack, as demonstrated by discovering the admin password.

🤖 Analiza AI

Jak działa

Podatność znajduje się w skrypcie PHP dostępnym pod ścieżką model/__show_info.php, który akceptuje parametr REQUIRE_FILE bez odpowiedniej walidacji. Atakujący może podać dowolną bezwzględną ścieżkę do pliku systemowego jako wartość tego parametru, co powoduje, że serwer odczytuje i zwraca zawartość wskazanego pliku. Mechanizm path traversal pozwala w ten sposób na odczyt wrażliwych plików konfiguracyjnych zawierających dane uwierzytelniające, w tym hasło administratora.

Skutki

Atakujący uzyskuje pełen dostęp do wrażliwych plików systemowych urządzenia bez żadnego uwierzytelnienia, co w praktyce oznacza możliwość przejęcia pełnej kontroli administracyjnej nad routerem poprzez odczyt i wykorzystanie hasła administratora.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na wiek urządzenia i oprogramowania należy rozważyć wymianę sprzętu na nowszy model aktywnie wspierany przez producenta. Jako środek tymczasowy należy ograniczyć dostęp do interfejsu zarządzania urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokować dostęp z sieci WAN.

Kogo dotyczy

D-Link DIR-600 Rev Bx z oprogramowaniem (firmware) w wersji 2.x

Uwagi

Dla tej podatności dostępny jest publiczny exploit opublikowany w bazie Exploit-DB (exploit nr 42581). Podatność została opisana przez badacza Jithin D Kurup na platformie Tumblr.