CVE-2019-12767

Command Injection w D-Link DAP-1650 umożliwia zdalne wykonanie poleceń

CVSS 9.8v3.1pub. 2020-03-21upd. 2024-11-21

Urządzenia D-Link DAP-1650 z firmware przed wersją 1.04B02_J65H Hot Fix są podatne na command injection, umożliwiający nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń. Podatność otrzymała ocenę krytyczną CVSS 9.8, co wskazuje na bardzo wysokie ryzyko.

▸ Pokaż oryginał (EN)

An issue was discovered on D-Link DAP-1650 devices before 1.04B02_J65H Hot Fix. Attackers can execute arbitrary commands.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-78 (command injection) polega na możliwości wstrzyknięcia przez atakującego złośliwych poleceń systemowych, które są następnie wykonywane przez urządzenie z jego uprawnieniami. Atak można przeprowadzić zdalnie przez sieć bez konieczności uwierzytelnienia się ani interakcji ze strony użytkownika, co czyni go szczególnie niebezpiecznym.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem/access pointem, ujawnienia poufnych danych konfiguracyjnych oraz potencjalnego wykorzystania urządzenia jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zaktualizować firmware urządzenia D-Link DAP-1650 do wersji 1.04B02_J65H Hot Fix lub nowszej. Patch dostępny jest zgodnie z informacjami w notach wydania producenta. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeniem wyłącznie z zaufanych sieci oraz wyłączenie zdalnego zarządzania od strony WAN.