CVE-2023-24349

Stack overflow w D-Link DIR-605L via parametr curTime

CVSS 9.8v3.1pub. 2023-02-10upd. 2025-03-24

Router D-Link N300 Wi-Fi DIR-605L w wersji firmware v2.13B01 zawiera podatność typu stack overflow, umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Wysoki wynik CVSS 9.8 odzwierciedla krytyczne ryzyko pełnego przejęcia urządzenia przez sieć.

▸ Pokaż oryginał (EN)

D-Link N300 WI-FI Router DIR-605L v2.13B01 was discovered to contain a stack overflow via the curTime parameter at /goform/formSetRoute.

🤖 Analiza AI

Jak działa

Podatność występuje w endpoincie /goform/formSetRoute, który nieprawidłowo przetwarza parametr curTime przesyłany przez użytkownika. Brak odpowiedniej walidacji długości danych wejściowych powoduje przepełnienie stosu (stack overflow, CWE-787 — zapis poza granicami bufora). Atakujący może dostarczyć spreparowany payload przez sieć bez konieczności posiadania jakichkolwiek poświadczeń, co klasyfikuje wektor ataku jako sieciowy, bez interakcji użytkownika.

Skutki

Skuteczne wykorzystanie podatności może prowadzić do zdalnego wykonania kodu (RCE) na urządzeniu, co oznacza pełną utratę poufności, integralności i dostępności routera. Atakujący może uzyskać pełną kontrolę nad urządzeniem sieciowym i ruchem przez nie przechodzącym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje dostępne w biuletynie bezpieczeństwa D-Link pod adresem https://www.dlink.com/en/security-bulletin/. Jeśli aktualizacja firmware nie jest dostępna lub urządzenie jest na końcu wsparcia (EoL), należy rozważyć wymianę urządzenia oraz ograniczenie dostępu do panelu administracyjnego wyłącznie z zaufanych sieci lokalnych.