CVE-2024-23625

Command injection w D-Link DAP-1650 przez wiadomości UPnP SUBSCRIBE

CVSS 9.6v3.1pub. 2024-01-26upd. 2024-11-21

Urządzenia D-Link DAP-1650 są podatne na command injection podczas obsługi wiadomości UPnP SUBSCRIBE. Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad urządzeniem z uprawnieniami roota bez żadnej autoryzacji.

▸ Pokaż oryginał (EN)

A command injection vulnerability exists in D-Link DAP-1650 devices when handling UPnP SUBSCRIBE messages. An unauthenticated attacker can exploit this vulnerability to gain command execution on the device as root.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej obsłudze danych wejściowych zawartych w wiadomościach UPnP SUBSCRIBE — dane te są przekazywane do wykonania polecenia systemowego bez odpowiedniej walidacji ani sanityzacji. Atakujący działający w tej samej sieci lokalnej może wysłać specjalnie spreparowaną wiadomość UPnP SUBSCRIBE, wstrzykując w niej złośliwe polecenia systemowe. Ponieważ exploit nie wymaga uwierzytelnienia, wystarczy dostęp sieciowy do podatnego urządzenia.

Skutki

Atakujący uzyskuje zdalne wykonanie poleceń (RCE) na urządzeniu z uprawnieniami roota, co oznacza pełne przejęcie kontroli — możliwość modyfikacji konfiguracji, instalacji backdoorów, przechwycenia ruchu sieciowego oraz użycia urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wdrożenia poprawki zaleca się zablokowanie dostępu do usługi UPnP od strony sieci lokalnej dla niezaufanych urządzeń lub wyłączenie funkcji UPnP na urządzeniu, jeśli nie jest wymagana.

Kogo dotyczy

D-Link DAP-1650 — wersje wskazane w referencjach producenta

Uwagi

Szczegółowy opis techniczny podatności został opublikowany przez Exodus Intelligence w dniu 25 stycznia 2024 r. (dzień przed oficjalną datą publikacji CVE) pod adresem blog.exodusintel.com.