CVE-2023-26613

Command injection w D-Link DIR-823G — wykonanie poleceń systemu bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-06-29upd. 2024-11-21

Podatność typu OS command injection w oprogramowaniu routera D-Link DIR-823G w wersji firmware 1.02B05 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemu operacyjnego. Ze względu na brak wymagania jakiegokolwiek uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność urządzenia, podatność jest oceniana jako krytyczna.

▸ Pokaż oryginał (EN)

An OS command injection vulnerability in D-Link DIR-823G firmware version 1.02B05 allows unauthorized attackers to execute arbitrary operating system commands via a crafted GET request to EXCU_SHELL.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP GET do endpointu EXCU_SHELL dostępnego w interfejsie webowym urządzenia. Endpoint ten przetwarza dane wejściowe z żądania bez odpowiedniej walidacji i sanityzacji, co pozwala na wstrzyknięcie arbitralnych poleceń systemu operacyjnego. Polecenia te są następnie wykonywane z uprawnieniami procesu obsługującego żądanie na urządzeniu.

Skutki

Nieuwierzytelniony, zdalny atakujący może uzyskać pełną kontrolę nad urządzeniem — wykonywać dowolne polecenia systemu operacyjnego, odczytywać lub modyfikować konfigurację, a także potencjalnie wykorzystać router jako punkt wejścia do sieci lokalnej (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (D-Link Security Bulletin: https://www.dlink.com/en/security-bulletin/). Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania routera wyłącznie do zaufanych sieci oraz wyłączenie zdalnego dostępu do panelu administracyjnego od strony sieci WAN.

Kogo dotyczy

D-Link DIR-823G z firmware w wersji 1.02B05

Uwagi

Publiczny proof-of-concept jest dostępny w repozytorium GitHub wskazanym w referencjach (726232111/VulIoT), co zwiększa ryzyko wykorzystania podatności przez nieuprawnione osoby.