CVE-2024-38437

Pominięcie uwierzytelniania w D-Link DSL-225 (Auth Bypass)

CVSS 9.8v3.1pub. 2024-07-21upd. 2024-11-21

Podatność w firmware urządzenia D-Link DSL-225 umożliwia obejście mechanizmu uwierzytelniania poprzez alternatywną ścieżkę lub kanał dostępu. Ze względu na krytyczny wynik CVSS 9.8 i brak wymagań dotyczących uprawnień, stanowi poważne zagrożenie dla bezpieczeństwa sieci.

▸ Pokaż oryginał (EN)

D-Link - CWE-288:Authentication Bypass Using an Alternate Path or Channel

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-288 (Authentication Bypass Using an Alternate Path or Channel) oraz CWE-306 (Missing Authentication for Critical Function) polega na tym, że atakujący może uzyskać dostęp do chronionych funkcji urządzenia bez podawania prawidłowych danych uwierzytelniających. Możliwe jest to poprzez skorzystanie z alternatywnej ścieżki lub kanału komunikacji, który nie jest objęty standardową weryfikacją tożsamości. Atak może być przeprowadzony zdalnie, przez sieć, bez interakcji ze strony użytkownika i bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do urządzenia z pełnymi uprawnieniami, co może skutkować przejęciem kontroli nad routerem/modemem, modyfikacją jego konfiguracji, przechwyceniem ruchu sieciowego lub dalszym lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz izolację urządzenia od nieautoryzowanych segmentów sieci do czasu wdrożenia aktualizacji.

Kogo dotyczy

Urządzenia D-Link DSL-225 oraz ich firmware — konkretne wersje wskazane w referencjach producenta

Uwagi

Podatność została opublikowana przez izraylski rządowy CERT (gov.il). Opis techniczny w oficjalnych źródłach jest ograniczony — szczegóły techniczne mogą być dostępne wyłącznie w referencjach producenta.