CVE-2023-48842

Command injection w D-Link Go-RT-AC750 via hedwig.cgi

CVSS 9.8v3.1pub. 2023-12-01upd. 2025-06-03

W oprogramowaniu routera D-Link Go-RT-AC750 (wersja revA_v101b03) odkryto podatność typu command injection, umożliwiającą zdalne wykonanie poleceń systemowych bez uwierzytelnienia. Wysoki wynik CVSS 9.8 wskazuje na krytyczny poziom zagrożenia dla urządzeń wystawionych na dostęp sieciowy.

▸ Pokaż oryginał (EN)

D-Link Go-RT-AC750 revA_v101b03 was discovered to contain a command injection vulnerability via the service parameter at hedwig.cgi.

🤖 Analiza AI

Jak działa

Podatność znajduje się w skrypcie CGI o nazwie hedwig.cgi, który przetwarza żądania HTTP bez odpowiedniej walidacji parametru 'service'. Atakujący może umieścić w tym parametrze złośliwe polecenia systemowe, które zostaną wykonane przez urządzenie z uprawnieniami procesu obsługującego żądanie. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, a jego wykonanie jest możliwe zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemowe — co prowadzi do naruszenia poufności, integralności i dostępności systemu. Możliwe skutki obejmują m.in. przejęcie urządzenia, zmianę konfiguracji sieci, a także wykorzystanie routera jako punktu wejścia do sieci lokalnej (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jeśli aktualizacja nie jest dostępna, zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci lokalnych oraz wyłączenie dostępu do panelu zarządzania od strony sieci WAN.