CVE-2019-16057

Podatność typu command injection (CWE-78) występuje w skrypcie CGI obsługującym logowanie do urządzenia — login_mgr.cgi. Atakujący może przesłać specjalnie spreparowane żądanie sieciowe zawierające złośliwe polecenia systemowe osadzone w parametrach wejściowych. Skrypt nie dokonuje odpowiedniej walidacji danych wejściowych, co powoduje wykonanie przekazanych poleceń bezpośrednio przez system operacyjny urządzenia. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, a wektor sieciowy oznacza możliwość przeprowadzenia go zdalnie przez Internet.

Atakujący uzyskuje możliwość zdalnego wykonania dowolnych poleceń na urządzeniu (RCE) z uprawnieniami procesu obsługującego CGI, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem — w tym dostęp do przechowywanych danych, modyfikację konfiguracji oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na aktywne exploitowanie podatności zaleca się natychmiastową aktualizację firmware lub — jeśli patch jest niedostępny — odizolowanie urządzenia od sieci publicznej i ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych sieci lokalnych za pomocą firewall.

D-Link DNS-320 z firmware w wersjach do 2.05.B10 włącznie

Podatność jest uwzględniona w katalogu CISA KEV jako aktywnie exploitowana. W referencjach znajduje się również dokument FTC (Federal Trade Commission) dotyczący postępowania wobec D-Link, co sugeruje szerszy kontekst regulacyjny związany z bezpieczeństwem produktów tego producenta.

CISA KEV — szczegółyi

Dostawcai

D-Link

Produkti

DNS-320 Storage Device

Data dodania do KEVi

15 kwietnia 2022

Termin remediation (USA)i

6 maja 2022(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności