CVE-2023-32169

D-Link D-View: pominięcie uwierzytelnienia przez hardkodowany klucz kryptograficzny

CVSS 9.8v3.0pub. 2024-05-03upd. 2025-08-07

Podatność w oprogramowaniu D-Link D-View pozwala zdalnym atakującym na ominięcie mechanizmu uwierzytelnienia bez posiadania jakichkolwiek poświadczeń. Wynika z użycia stałego, wbudowanego na stałe klucza kryptograficznego, co czyni ją szczególnie groźną ze względu na pełny dostęp do systemu bez autoryzacji.

▸ Pokaż oryginał (EN)

D-Link D-View Use of Hard-coded Cryptographic Key Authentication Bypass Vulnerability. This vulnerability allows remote attackers to bypass authentication on affected installations of D-Link D-View. Authentication is not required to exploit this vulnerability. The specific flaw exists within the TokenUtils class. The issue results from a hard-coded cryptographic key. An attacker can leverage this vulnerability to bypass authentication on the system. . Was ZDI-CAN-19659.

🤖 Analiza AI

Jak działa

Problem tkwi w klasie TokenUtils oprogramowania D-View, która wykorzystuje hardkodowany klucz kryptograficzny do obsługi tokenów uwierzytelniających. Ponieważ klucz jest znany (lub możliwy do odtworzenia), atakujący może samodzielnie wygenerować prawidłowe tokeny uwierzytelniające. W efekcie możliwe jest ominięcie całego mechanizmu uwierzytelnienia bez znajomości jakichkolwiek danych logowania.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do systemu D-Link D-View z poziomu sieci, co może prowadzić do pełnego przejęcia kontroli nad aplikacją, ujawnienia poufnych danych oraz modyfikacji konfiguracji zarządzanych urządzeń sieciowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (ogłoszenie D-Link SAP10332 dostępne pod adresem supportannouncement.us.dlink.com)