CVE-2023-39667

Podatność wynika z braku walidacji długości parametru param_2 przekazywanego do funkcji FUN_0000acb4 w procesie httpd routera. Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które przepełniają bufor w pamięci (buffer overflow, CWE-120). Skutkuje to możliwością nadpisania krytycznych obszarów pamięci i wykonania dowolnego kodu na urządzeniu.

Atakujący bez żadnego uwierzytelnienia, zdalnie przez sieć, może wykonać dowolny kod na urządzeniu (RCE), co prowadzi do pełnego przejęcia routera, utraty poufności, integralności i dostępności obsługiwanej sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://support.dlink.com/ oraz https://www.dlink.com/en/security-bulletin/). Jeśli producent nie udostępnia aktualizacji dla danej wersji firmware (urządzenie może być na końcu cyklu życia), zaleca się wymianę urządzenia na nowszy model oraz ograniczenie dostępu do panelu administracyjnego routera wyłącznie z sieci lokalnej przez firewall.

D-Link DIR-868L z firmware fw_revA_1-12_eu_multi_20170316 (wersja europejska, multi-language, data buildu 2017-03-16)

Podatność została zgłoszona przez badacza Davidteeri i udokumentowana w repozytorium GitHub pod nazwą 'DIR-868L httpd-Improper Input Validation'. Urządzenie D-Link DIR-868L może znajdować się na końcu cyklu wsparcia producenta — przed wdrożeniem poprawki należy zweryfikować dostępność aktualizacji firmware na stronie D-Link.