Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon D-Link no solucionará una vulnerabilidad crítica que afecta a 60.000 dispositivos NAS antiguos


Más de 60.000 dispositivos de almacenamiento NAS D-Link que han llegado al final de su vida útil son vulnerables a una inyección de comandos con un exploit disponible públicamente.

 


 

 

Vulnerabilidad Crítica en Routers D-Link Fuera de Soporte

La falla, identificada como CVE-2024-10914, tiene una puntuación de gravedad crítica de 9,2 y está presente en el comando 'cgi_user_add' donde el parámetro de nombre no está suficientemente sanitizado. Un atacante no autenticado podría aprovecharlo para inyectar comandos de shell arbitrarios enviando solicitudes HTTP GET especialmente diseñadas a los dispositivos.

La falla afecta a múltiples modelos de dispositivos de almacenamiento conectado a la red (NAS) D-Link que suelen utilizar las pequeñas empresas:

  • DNS-320 Versión 1.00
  • DNS-320LW Versión 1.01.0914.2012
  • DNS-325 Versión 1.01, Versión 1.02
  • DNS-340L Versión 1.08

En un artículo técnico que proporciona detalles del exploit, el investigador de seguridad Netsecfish dice que aprovechar la vulnerabilidad requiere enviar "una solicitud HTTP GET diseñada al dispositivo NAS con una entrada maliciosa en el parámetro de name"

curl "http://[Target-IP]/cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;[INJECTED_COMMAND];%27" 

"Esta solicitud curl construye una URL que activa el comando cgi_user_add con un parámetro de nombre que incluye un comando de shell inyectado", explica el investigador.  


 

Una búsqueda que Netsecfish realizó en la plataforma FOFA arrojó 61.147 resultados en 41.097 direcciones IP únicas para dispositivos D-Link vulnerables a CVE-2024-10914.

En un boletín de seguridad, D-Link confirmó que no habrá una solución para CVE-2024-10914 y el proveedor recomienda que los usuarios eliminen los productos vulnerables. Si eso no es posible en este momento, los usuarios deberían al menos aislarlos de la Internet pública o someterlos a condiciones de acceso más estrictas.

El mismo investigador descubrió en abril de este año una inyección de comando arbitraria y una falla de puerta trasera codificada, rastreada como CVE-2024-3273, que afecta principalmente a los mismos modelos NAS D-Link que la falla más reciente. En aquel entonces, los análisis de Internet de FOFA arrojaron 92.589 resultados


 

En respuesta a la situación en ese momento, un portavoz de D-Link que la empresa ya no fabrica dispositivos NAS y que los productos afectados habían alcanzado el EoL y no recibirán actualizaciones de seguridad.

Fuente: BC

Vía:

https://blog.segu-info.com.ar/2024/11/d-link-no-solucionara-una-falla-critica.html 


0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.