D-Link DVG-2001S XSS és XSRF sérülékenység

CH azonosító

CH-1921

Felfedezés dátuma

2009.02.02.

Súlyosság

Alacsony

Érintett rendszerek

D-Link
DVG-2001S

Érintett verziók

D-Link DVG-2001S

Összefoglaló

Néhány sérülékenységet jelentettek a D-Link DVG-2001S termékben, amit rosszindulatú támadók kihasználhatnak cross-site scripting (XSS) és cross-site request forgery (XSRF) támadások indítására.

Leírás

Néhány sérülékenységet jelentettek a D-Link DVG-2001S termékben, amit rosszindulatú támadók kihasználhatnak XSS és XSRF támadások indítására.

  1. Az URL-en keresztül a Forms/page_CfgDevInfo_Set-nek átadott bemenet nincs megfelelően megtisztítva mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjében az érintett oldal vonatkozásában.
  2. A készülék lehetővé tesz a felhasználónak bizonyos lépések végrehajtását HTTP kéréseken keresztül, a kérés jogosultságának ellenőrzése nélkül. Ez kihasználva pl. föltölthető egy másik firmware, ha a felhasználó meglátogat egy káros weboldalt.

A sérülékenységet az 1.00.007 firmware verzióban jelentették. Más verziók is érintettek lehetnek.

Megoldás

Szűrje a rosszindulatú karaktereket és karaktersorokat proxy segítségével!
Ne látogasson más oldalakat, amíg a készülékbe be van jelentkezve!