CVE-2023-7163

D-Link D-View 8: Manipulacja inwentarzem sond umożliwia RCE i DoS

CVSS 10.0v3.1pub. 2023-12-28upd. 2024-11-21

Podatność w D-Link D-View 8 w wersji 2.0.2.89 i wcześniejszych pozwala nieuwierzytelnionemu atakującemu zdalnie manipulować inwentarzem sond usługi D-View. Zagrożenie ma ocenę CVSS 10.0, co czyni je podatnością krytyczną z pełnym wpływem na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

A security issue exists in D-Link D-View 8 v2.0.2.89 and prior that could allow an attacker to manipulate the probe inventory of the D-View service. This could result in the disclosure of information from other probes, denial of service conditions due to the probe inventory becoming full, or the execution of tasks on other probes.

🤖 Analiza AI

Jak działa

Atakujący, bez żadnego uwierzytelnienia i z dowolnej lokalizacji sieciowej, może manipulować inwentarzem sond zarządzanych przez usługę D-View. Brak odpowiedniej walidacji danych wejściowych (CWE-20) umożliwia rejestrację lub modyfikację wpisów sond w sposób nieuprawniony. W wyniku tego inwentarz może zostać przepełniony, co prowadzi do warunków odmowy usługi, lub atakujący może podszyć się pod inną sondę i przejąć wykonywanie zadań.

Skutki

Atakujący może uzyskać dostęp do informacji zebranych przez inne sondy (naruszenie poufności), spowodować odmowę usługi poprzez przepełnienie inwentarza sond (DoS), a także wykonywać zadania w imieniu innych sond — co może prowadzić do nieautoryzowanych działań w zarządzanej sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do usługi D-View wyłącznie do zaufanych hostów za pomocą firewall oraz monitorowanie aktywności w inwentarzu sond.

Kogo dotyczy

D-Link D-View 8 w wersji 2.0.2.89 i wcześniejszych

Uwagi

Podatność została zgłoszona przez firmę Tenable (raport TRA-2023-43). Wektor ataku nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, a zakres ataku wykracza poza komponent źródłowy (S:C), co uzasadnia maksymalny wynik CVSS 10.0.