CVE-2021-42627

D-Link DIR-615: dostęp do strony konfiguracji WAN bez uwierzytelnienia

CVSS 9.8v3.1pub. 2022-08-23upd. 2026-07-09

Urządzenia D-Link DIR-615 z firmware 20.06 umożliwiają bezpośredni dostęp do strony konfiguracji WAN (wan.htm) bez jakiegokolwiek uwierzytelnienia. Podatność pozwala atakującemu na odczyt oraz modyfikację ustawień WAN routera.

▸ Pokaż oryginał (EN)

The WAN configuration page "wan.htm" on D-Link DIR-615 devices with firmware 20.06 can be accessed directly without authentication which can lead to disclose the information about WAN settings and also leverage attacker to modify the data fields of page.

🤖 Analiza AI

Jak działa

Strona konfiguracyjna wan.htm nie wymaga zalogowania — można się do niej odwołać bezpośrednio przez przeglądarkę lub inne narzędzie HTTP bez podawania jakichkolwiek danych uwierzytelniających. Atakujący uzyskuje w ten sposób wgląd w bieżące ustawienia połączenia WAN (mogące zawierać dane wrażliwe) oraz możliwość ich zmiany. Modyfikacja ustawień WAN może prowadzić do przejęcia kontroli nad ruchem sieciowym lub odcięcia urządzenia od internetu.

Skutki

Atakujący może bez uwierzytelnienia odczytać poufne dane konfiguracji połączenia WAN oraz je zmodyfikować, co może skutkować utratą poufności, integralności i dostępności połączenia sieciowego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.dlink.com/en/security-bulletin/). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu do panelu zarządzania od strony WAN na poziomie firewall.

Kogo dotyczy

D-Link DIR-615 (w tym warianty J1 i T1) z firmware w wersji 20.06

Uwagi

Podatność została zgłoszona i udokumentowana przez badacza sanjokkarki, którego kod PoC dostępny jest w repozytorium GitHub (https://github.com/sanjokkarki/D-Link-DIR-615/blob/main/CVE-2021-42627).