CVE-2024-23624

Command injection w D-Link DAP-1650 — nieuwierzytelniony dostęp root

CVSS 9.6v3.1pub. 2024-01-26upd. 2024-11-21

W module gena.cgi urządzeń D-Link DAP-1650 istnieje podatność typu command injection, która umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych z uprawnieniami root. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia i pełnego przejęcia kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

A command injection vulnerability exists in the gena.cgi module of D-Link DAP-1650 devices. An unauthenticated attacker can exploit this vulnerability to gain command execution on the device as root.

🤖 Analiza AI

Jak działa

Podatność znajduje się w module gena.cgi firmware urządzenia D-Link DAP-1650. Atakujący osiągalny z sieci lokalnej (wektor AV:A) może wysłać spreparowane żądanie do tego modułu bez konieczności podawania jakichkolwiek danych uwierzytelniających. Nieodpowiednia sanityzacja danych wejściowych pozwala na wstrzyknięcie i wykonanie dowolnych poleceń systemowych. Polecenia są wykonywane w kontekście konta root, co oznacza pełne uprawnienia administracyjne na urządzeniu.

Skutki

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root, co umożliwia m.in. modyfikację konfiguracji sieci, przechwytywanie ruchu sieciowego, instalację złośliwego oprogramowania oraz wykorzystanie urządzenia jako punktu wejścia do dalszych ataków na sieć wewnętrzną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację urządzenia od niezaufanych segmentów sieci oraz ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych hostów.