CVE-2024-40505

Path Traversal w D-Link DAP-1650 umożliwiający eskalację uprawnień

CVSS 9.3v3.1pub. 2024-07-16upd. 2025-05-29

Podatność typu path traversal w oprogramowaniu D-Link DAP-1650 Firmware v.1.03 pozwala lokalnemu atakującemu na eskalację uprawnień. Ze względu na krytyczny poziom CVSS (9.3) i brak wymaganej autoryzacji, stanowi poważne zagrożenie dla bezpieczeństwa urządzenia.

▸ Pokaż oryginał (EN)

Directory Traversal vulnerability in D-Link DAP-1650 Firmware v.1.03 allows a local attacker to escalate privileges via the hedwig.cgi component.

🤖 Analiza AI

Jak działa

Podatność występuje w komponencie hedwig.cgi urządzenia D-Link DAP-1650. Atakujący z lokalnym dostępem do urządzenia może wykorzystać nieprawidłową obsługę ścieżek plików (CWE-35 — path traversal), aby wyjść poza dozwolony katalog i uzyskać dostęp do zasobów systemowych poza przewidzianym zakresem. W wyniku tego możliwa jest eskalacja uprawnień do wyższego poziomu uprzywilejowania.

Skutki

Atakujący może uzyskać podwyższone uprawnienia na urządzeniu, co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad routerem, w tym modyfikacji konfiguracji, przechwytywania ruchu sieciowego lub dalszego ruchu lateralnego w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (ogłoszenie bezpieczeństwa D-Link SAP10266 dostępne pod adresem supportannouncement.us.dlink.com). Zaleca się jak najszybszą aktualizację firmware urządzenia do wersji wolnej od podatności.