CVE-2023-51984

Command injection w D-Link DIR-822+ — zdalne wykonanie poleceń

CVSS 9.8v3.1pub. 2024-01-11upd. 2025-06-16

Router D-Link DIR-822+ w wersji V1.0.2 zawiera podatność typu command injection w funkcji SetStaticRouteSettings, umożliwiającą zdalne wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Krytyczny poziom zagrożenia wynika z braku wymagań co do uprawnień i możliwości pełnego przejęcia urządzenia przez sieć.

▸ Pokaż oryginał (EN)

D-Link DIR-822+ V1.0.2 was found to contain a command injection in SetStaticRouteSettings function. allows remote attackers to execute arbitrary commands via shell.

🤖 Analiza AI

Jak działa

Podatność tkwi w funkcji SetStaticRouteSettings odpowiedzialnej za konfigurację statycznych tras routingu. Dane wejściowe przekazywane do tej funkcji nie są odpowiednio sanityzowane, co pozwala atakującemu na wstrzyknięcie złośliwych poleceń powłoki (shell). Exploit może być przeprowadzony zdalnie, przez sieć, bez konieczności posiadania jakichkolwiek poświadczeń ani interakcji ze strony użytkownika.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu z uprawnieniami procesu obsługującego żądanie, co w praktyce oznacza możliwość pełnego przejęcia kontroli nad routerem — naruszenie poufności, integralności oraz dostępności urządzenia i przesyłanych przez nie danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz wyłączenie zdalnego zarządzania routerem od strony sieci WAN.

Kogo dotyczy

D-Link DIR-822+ w wersji firmware V1.0.2

Uwagi

Szczegóły techniczne podatności wraz z materiałem dowodowym (proof-of-concept) zostały opublikowane przez badacza o pseudonimie 'funny-mud-peee' w repozytorium GitHub pod adresem wskazanym w referencjach.