CVE-2024-57684

D-Link DIR-816: nieautoryzowana zmiana konfiguracji DMZ przez formDMZ.cgi

CVSS 9.8v3.1pub. 2025-01-16upd. 2025-05-02

Podatność w oprogramowaniu routera D-Link DIR-816 pozwala nieuwierzytelnionemu atakującemu na modyfikację ustawień strefy DMZ urządzenia. Wysoki wynik CVSS 9.8 wynika z braku jakichkolwiek wymagań uwierzytelnienia i możliwości przeprowadzenia ataku zdalnie przez sieć.

▸ Pokaż oryginał (EN)

An access control issue in the component formDMZ.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers to set the DMZ service of the device via a crafted POST request.

🤖 Analiza AI

Jak działa

Komponent formDMZ.cgi w firmware D-Link DIR-816 (wersja 816A2_FWv1.10CNB05_R1B011D88210) nie wymaga uwierzytelnienia przed przetworzeniem żądań POST. Atakujący może wysłać odpowiednio spreparowane żądanie POST do tego endpointu, co skutkuje zmianą konfiguracji usługi DMZ na urządzeniu. Jest to błąd kontroli dostępu (CWE-276 — nieprawidłowe domyślne uprawnienia), polegający na braku mechanizmu weryfikacji tożsamości użytkownika przed wykonaniem operacji administracyjnej.

Skutki

Atakujący bez żadnych uprawnień może zdalnie zmodyfikować konfigurację strefy DMZ routera, co może prowadzić do przekierowania ruchu sieciowego, naruszenia segmentacji sieci oraz umożliwienia dostępu do wewnętrznych zasobów organizacji z zewnątrz.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.dlink.com/en/security-bulletin/). Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie z zaufanych adresów IP oraz zablokowanie dostępu do panelu zarządzania od strony sieci WAN.

Kogo dotyczy

D-Link DIR-816 z firmware w wersji 816A2_FWv1.10CNB05_R1B011D88210

Uwagi

Publicznie dostępny dowód podatności (proof-of-concept) został opublikowany w repozytorium GitHub wskazanym w referencjach. Podatność dotyczy firmware oznaczonego jako CNB (prawdopodobnie wersja na rynek chiński).