CVE-2025-57105

Podatność występuje w programie jhttpd, konkretnie w funkcji sub_478D28 obsługiwanej przez plik mng_platform.asp oraz w funkcji sub_4A12DC obsługiwanej przez plik wayos_ac_server.asp. Parametr ac_mng_srv_host przekazywany do tych funkcji nie jest odpowiednio walidowany ani sanityzowany, co pozwala atakującemu na wstrzyknięcie złośliwych poleceń systemowych. Atakujący może wysłać spreparowane żądanie sieciowe bez konieczności uwierzytelnienia i osiągnąć wykonanie poleceń w kontekście procesu jhttpd.

Atakujący może zdalnie przejąć pełną kontrolę nad urządzeniem, wykonując dowolne polecenia systemowe — potencjalnie uzyskując dostęp do konfiguracji, danych przesyłanych przez sieć oraz umożliwiając dalszy lateral movement w infrastrukturze.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.dlink.com/en/security-bulletin/). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz odizolowanie urządzenia od nieautoryzowanych segmentów sieci.

D-Link DI-7400G+ (wersje wskazane w referencjach producenta)

Publiczny proof-of-concept (PoC) dla tej podatności jest dostępny w repozytorium GitHub: https://github.com/xyh4ck/iot_poc