Летом текущего года специалисты Digital Defense обнаружили, что ряд моделей маршрутизаторов компании D-Link был уязвим перед инъекциями команд, в том числе удаленными.
Изначально проблемы нашли в маршрутизаторах DSR-250 с версией прошивки 3.17, но затем выяснилось, что уязвимости затрагивают и другие устройства производителя, а именно VPN-маршрутизаторы D-Link DSR-150, DSR-250, DSR-500 и DSR-1000AC с прошивкой версий 3.17 и более ранних версий.
Наиболее серьезные из этих багов могли позволить неаутентифицированному злоумышленнику получить доступ к веб-интерфейсу Unified Services Router (через LAN или WAN) для внедрения произвольных команд, которые будут выполнены с привилегиями root. Для эксплуатации проблем атакующему понадобится лишь отправить устройству специально созданный запрос, что приведет к получению полного контроля над устройством.
В сущности, при помощи этих багов хакеры могли использовать полученный доступ для перехвата трафика, его изменения или атак на другие подключенные устройства.
Разработчики D-Link уже признали уязвимости и опубликовали некоторые подробности, рассказав, что корень наиболее опасных проблем заключался в том, что некоторые LUA CGI доступны без аутентификации. В настоящее время для всех затронутых моделей маршрутизаторов уже были выпущены исправления: последняя версия прошивки, устраняющая проблему — 3.17B401C.
При этом патчей для более мелкой уязвимости можно не ждать, так как для ее эксплуатации злоумышленнику сначала нужно получить доступ к устройству и загрузить файл конфигурации, разработчики отказались признавать это сколь-нибудь серьезной проблемой.
