CVE-2025-29040

Command Injection w D-Link DIR-823X — zdalne wykonanie kodu przez parametr target_addr

CVSS 9.8v3.1pub. 2025-04-17upd. 2025-05-01

Podatność typu command injection w oprogramowaniu routera D-Link DIR-823X (wersja firmware 240802) umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Ze względu na brak wymagań dotyczących uwierzytelnienia i pełny zakres uprawnień, zagrożenie jest oceniane jako krytyczne (CVSS 9.8).

▸ Pokaż oryginał (EN)

An issue in dlink DIR 823x 240802 allows a remote attacker to execute arbitrary code via the target_addr key value and the function 0x41737c

🤖 Analiza AI

Jak działa

Podatność tkwi w obsłudze parametru 'target_addr' w funkcji znajdującej się pod adresem 0x41737c, najprawdopodobniej powiązanej z diagnostyczną funkcją ping (diag_ping). Dane przekazywane przez atakującego w kluczu 'target_addr' nie są odpowiednio walidowane ani sanityzowane przed przekazaniem do wywołania systemowego. Umożliwia to wstrzyknięcie dowolnych poleceń systemowych (command injection), które zostają wykonane z uprawnieniami procesu obsługującego żądanie.

Skutki

Atakujący zdalny, bez żadnego uwierzytelnienia, może wykonać dowolny kod na urządzeniu, co w praktyce oznacza pełne przejęcie kontroli nad routerem, w tym możliwość modyfikacji konfiguracji, podsłuchu ruchu sieciowego lub wykorzystania urządzenia jako punktu wyjścia do dalszych ataków w sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — sprawdzić biuletyn bezpieczeństwa D-Link pod adresem https://www.dlink.com/en/security-bulletin/. Do czasu wydania i wdrożenia poprawki zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych hostów oraz wyłączenie dostępu od strony sieci WAN.

Kogo dotyczy

D-Link DIR-823X z firmware w wersji 240802

Uwagi

Publiczny proof-of-concept exploit jest dostępny w referencjach (GitHub: xyqer1/Dlink-dir-823x-diag_ping-target_addr-CommandInjection), co istotnie zwiększa ryzyko wykorzystania podatności.