CVE-2022-37128

D-Link DIR-816: inicjalizacja sieci bez uwierzytelnienia przez wizard_end

CVSS 9.8v3.1pub. 2022-08-31upd. 2024-11-21

Podatność w routerze D-Link DIR-816 (firmware A2_v1.10CNB04) umożliwia nieuwierzytelnionemu atakującemu zdalną inicjalizację ustawień sieciowych urządzenia. Brak mechanizmu uwierzytelniania w krytycznym endpoincie konfiguracyjnym czyni tę podatność wyjątkowo groźną.

▸ Pokaż oryginał (EN)

In D-Link DIR-816 A2_v1.10CNB04.img the network can be initialized without authentication via /goform/wizard_end.

🤖 Analiza AI

Jak działa

Endpoint /goform/wizard_end dostępny w interfejsie webowym urządzenia nie wymaga żadnego uwierzytelnienia przed wykonaniem operacji. Atakujący mający dostęp sieciowy do urządzenia może bezpośrednio wywołać ten zasób i zainicjalizować ustawienia sieciowe routera bez podawania jakichkolwiek poświadczeń. Podatność klasyfikowana jest jako CWE-665 (improper initialization), co wskazuje na błąd w inicjalizacji stanu kontroli dostępu dla tego endpointu.

Skutki

Atakujący może bez uwierzytelnienia zdalnie zmodyfikować konfigurację sieciową routera, co może prowadzić do utraty dostępu do sieci, przekierowania ruchu sieciowego lub przejęcia kontroli nad infrastrukturą sieciową obsługiwaną przez urządzenie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.dlink.com/en/security-bulletin/). Do czasu aktualizacji firmware zaleca się ograniczenie dostępu do interfejsu webowego urządzenia wyłącznie do zaufanych hostów oraz izolację urządzenia od niezaufanych sieci.

Kogo dotyczy

D-Link DIR-816 A2 z firmware w wersji A2_v1.10CNB04.img

Uwagi

Szczegółowy opis techniczny podatności wraz z proof-of-concept dostępny jest w repozytorium GitHub badacza z1r00 pod adresem: https://github.com/z1r00/IOT_Vul/blob/main/dlink/Dir816/wizard_end/readme.md