CVE-2025-55583

D-Link DIR-868L — nieuwierzytelniony command injection w fileaccess.cgi

CVSS 9.8v3.1pub. 2025-08-28upd. 2025-09-09

Router D-Link DIR-868L B1 z firmware FW2.05WWB02 zawiera krytyczną podatność pozwalającą nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemowych z uprawnieniami root. Brak jakiejkolwiek weryfikacji tożsamości użytkownika oraz brak filtrowania danych wejściowych czynią tę lukę wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

D-Link DIR-868L B1 router firmware version FW2.05WWB02 contains an unauthenticated OS command injection vulnerability in the fileaccess.cgi component. The endpoint /dws/api/UploadFile accepts a pre_api_arg parameter that is passed directly to system-level shell execution functions without sanitization or authentication. Remote attackers can exploit this to execute arbitrary commands as root via crafted HTTP requests.

🤖 Analiza AI

Jak działa

Komponent fileaccess.cgi udostępnia endpoint /dws/api/UploadFile, który przyjmuje parametr pre_api_arg. Wartość tego parametru jest przekazywana bezpośrednio do funkcji wykonujących polecenia na poziomie powłoki systemowej (shell) bez żadnej sanityzacji ani sprawdzenia uwierzytelnienia. Atakujący może wysłać spreparowane żądanie HTTP zawierające złośliwy payload w parametrze pre_api_arg, co skutkuje wykonaniem dowolnych poleceń jako root.

Skutki

Atakujący uzyskuje pełną kontrolę nad urządzeniem z najwyższymi uprawnieniami (root), co umożliwia przejęcie routera, modyfikację konfiguracji sieci, przechwytywanie ruchu sieciowego oraz wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (D-Link Security Advisory SAP10397 dostępny pod adresem supportannouncement.us.dlink.com). Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania routera wyłącznie z zaufanych adresów IP oraz wyłączenie zdalnego dostępu do panelu administracyjnego od strony sieci WAN.