CVE-2023-36089

Podatność tkwi w funkcji phpcgi_main w module cgibin obsługującym żądania CGI na routerze. Atakujący może wysłać specjalnie spreparowane żądanie sieciowe, które obchodzi mechanizmy weryfikacji tożsamości (authentication bypass). Skutkuje to uzyskaniem dostępu z podwyższonymi uprawnieniami bez podawania poprawnych danych logowania. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika.

Atakujący może uzyskać pełne, podwyższone uprawnienia na urządzeniu, co potencjalnie prowadzi do przejęcia kontroli nad routerem, naruszenia poufności, integralności i dostępności przetwarzanych danych oraz sieci lokalnej.

Producent D-Link nie wydał i nie wyda patcha dla tego urządzenia, ponieważ jest ono wycofane z obsługi (End of Life). Zaleca się natychmiastową wymianę urządzenia na nowszy model objęty aktywnym wsparciem. Do czasu wymiany należy odizolować urządzenie od publicznego Internetu, ograniczyć dostęp do interfejsu zarządzania wyłącznie do zaufanych hostów w sieci lokalnej oraz rozważyć wyłączenie funkcji zdalnego zarządzania.

D-Link DIR-645 z firmware w wersji 1.03. Dotyczy wyłącznie produktów, które nie są już objęte wsparciem technicznym producenta.

Producent D-Link oficjalnie potwierdził, że podatność dotyczy wyłącznie urządzeń wycofanych z obsługi (End of Life/End of Support) i nie zostaną dla nich wydane aktualizacje bezpieczeństwa.