CVE-2023-31814

D-Link DIR-300: File Inclusion w /model/__lang_msg.php

CVSS 9.8v3.1pub. 2023-05-23upd. 2025-01-17

Urządzenia D-Link DIR-300 z oprogramowaniem sprzętowym w wersji REVA1.06 oraz REVB2.06 i wcześniejszych są podatne na atak typu file inclusion przez endpoint /model/__lang_msg.php. Luka otrzymała krytyczny wynik CVSS 9.8 i umożliwia zdalne wykorzystanie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

D-Link DIR-300 firmware <=REVA1.06 and <=REVB2.06 is vulnerable to File inclusion via /model/__lang_msg.php.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej obsłudze ścieżek plików w skrypcie /model/__lang_msg.php, który akceptuje dane wejściowe od użytkownika bez odpowiedniej walidacji lub sanitizacji. Atakujący może poprzez sieć (bez logowania) wskazać dowolny plik do włączenia przez ten endpoint. Klasyfikacja CWE-706 wskazuje na błąd polegający na użyciu niepoprawnie rozwiązanej nazwy lub referencji, co pozwala na wyjście poza zamierzony zakres dostępu do plików.

Skutki

Atakujący może odczytywać wrażliwe pliki systemowe urządzenia lub potencjalnie doprowadzić do wykonania złośliwego kodu, co w konsekwencji może skutkować pełnym przejęciem kontroli nad routerem. Ze względu na maksymalne oceny wpływu na poufność, integralność i dostępność (H/H/H) skutki kompromitacji są krytyczne.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w biuletynie bezpieczeństwa D-Link (https://www.dlink.com/en/security-bulletin/). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z Internetu.