Bl0ckch41nnewsD-Link no solucionará una falla crítica que afecta a 60.000 dispositivos NAS antiguos
Más de 60.000 dispositivos de almacenamiento NAS D-Link que han llegado al
final de su vida útil son vulnerables a una inyección de comandos con un
exploit disponible públicamente.
La falla, identificada como
CVE-2024-10914, tiene una puntuación de gravedad crítica de 9,2 y está presente en el
comando ‘cgi_user_add’ donde el parámetro de nombre no está
suficientemente sanitizado. Un atacante no autenticado podría
aprovecharlo para inyectar comandos de shell arbitrarios enviando
solicitudes HTTP GET especialmente diseñadas a los dispositivos.
La falla afecta a múltiples modelos de dispositivos de almacenamiento
conectado a la red (NAS) D-Link que suelen utilizar las pequeñas empresas:
- DNS-320 Versión 1.00
- DNS-320LW Versión 1.01.0914.2012
- DNS-325 Versión 1.01, Versión 1.02
- DNS-340L Versión 1.08
En un artículo técnico que proporciona detalles del exploit, el
investigador de seguridad Netsecfish
dice que aprovechar la vulnerabilidad requiere enviar
«una solicitud HTTP GET diseñada al dispositivo NAS con una entrada
maliciosa en el parámetro de name«.
curl "http://[Target-IP]/cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;[INJECTED_COMMAND];%27"
«Esta solicitud curl construye una URL que activa el comando cgi_user_add
con un parámetro de nombre que incluye un comando de shell inyectado»,
explica el investigador.
Una búsqueda que Netsecfish realizó en la plataforma FOFA arrojó 61.147
resultados en 41.097 direcciones IP únicas para dispositivos D-Link
vulnerables a CVE-2024-10914.
En
un boletín de seguridad, D-Link confirmó que no habrá una solución para CVE-2024-10914 y el
proveedor recomienda que los usuarios eliminen los productos
vulnerables. Si eso no es posible en este momento, los usuarios deberían al menos
aislarlos de la Internet pública o someterlos a condiciones de acceso más
estrictas.
El mismo investigador descubrió en abril de este año una inyección de comando
arbitraria y una falla de puerta trasera codificada, rastreada como
CVE-2024-3273, que afecta principalmente a los mismos modelos NAS D-Link que
la falla más reciente. En aquel entonces, los análisis de Internet de FOFA
arrojaron
92.589 resultados.
En respuesta a la situación en ese momento, un portavoz de D-Link que la
empresa ya no fabrica dispositivos NAS y que los productos afectados habían
alcanzado el EoL y no recibirán actualizaciones de seguridad.
Fuente:
BC
Los comentarios están cerrados.