Er is een beveiligingsprobleem geïdentificeerd in de D-Link-netwerkopslag (CVE-2024-3273), waardoor u alle opdrachten op het apparaat kunt uitvoeren met een account dat vooraf is gedefinieerd in de firmware. Sommige NAS-modellen vervaardigd door D-Link hebben last van het probleem, waaronder de DNS-340L, DNS-320L, DNS-327L en DNS-325. Een scan van het wereldwijde netwerk toonde de aanwezigheid aan van ruim 92 duizend actieve apparaten die kwetsbaar zijn. D-Link is niet van plan een firmware-update te publiceren die het probleem oplost, aangezien de apparaatondersteuningscyclus al is voltooid. Gebruikers wordt geadviseerd om problematische apparaten te vervangen door nieuwe modellen.
Het probleem is dat het nas_sharing.cgi-script toegankelijk is zonder authenticatie door de “umessagebus”-login op te geven met een leeg wachtwoord en elke opdracht op te geven die moet worden uitgevoerd in de “system”-parameter, gecodeerd in base64-formaat. Bijvoorbeeld “/cgi-bin/nas_sharing.cgi?user=messagebus&passwd=&cmd=15&system=command”.
Bron: opennet.ru
