D-Link NAS és NVR eszközök sérülékenységei

CH azonosító

CH-12283

Angol cím

More than fifty vulnerabilities in D-Link NAS and NVR devices

Felfedezés dátuma

2015.05.28.

Súlyosság

Magas

Érintett rendszerek

D-Link

Érintett verziók

A vizsgált eszközök:
DNS-320, Revision A: 2.03, 13/05/2013
DNS-320L, 1.03b04, 11/11/2013
DNS-327L, 1.02, 02/07/2014
DNR-326, 1.40b03, 7/19/2013

További eszközök, amelyek szintén érintettek lehetnek egy v. több sérülékenység által:
DNS-320B, 1,02b01, 23/04/2014
DNS-345, 1.03b06, 30/07/2014
DNS-325, 1.05b03, 30/12/2013
DNS-322L, 2.00b07

Összefoglaló

A SEARCH-LAB egy független biztonsági felmérést végzett 4 különböző D-Link eszközön. A felmérés 53 sérülékenységet azonosított a legutóbbi firmware-ben. Több sérülékenység kihasználása is lehetőséget adhat a támadók számára távoli kódfuttatáshoz, és az eszköz feletti irányítás átvételéhez.

Leírás

Néhány problémás terület, ahol a komolyabb hibákat találták:

  • A hitelesítés többféle módon megkerülhető, a támadó átveheti a felügyeletet az eszköz felett.
  • Néhány korábbi hibajavítás további, súlyos problémákat okozott, amelyeket kihasználva parancs befecskendezésre nyílik lehetőség.
  • Bár a munkamenet menedzsment több hibajavítást kapott korábban, továbbra is lehetőség nyílt tetszőleges helyre történő, hitelesítés nélküli fájlfeltöltésre, amellyel szintén átvehető az irányítás az eszköz felett.
  • Az alapértelmezett felhasználók (root, nobody) használhatóak hitelesítéshez, és az adminisztrátor nem tudja megváltoztatni ezen felhasználók alapértelmezett (üres) jelszavát a felhasználói felületen keresztül.

Megoldás

A sérülékenységek többsége orvosolva lett az alábbiakban:

  • DNS-320L 1.04.B12
  • DNS-327L 1.03.B04

Néhány sérülékenységet javítottak az alábbiakban:

  • DNR-326 2.10.B03
  • DNR-322L 2.10.B03

A javító patch-ek telepítésén túl ajánlott a DNS és DNR eszközök webes felületének elérhetőségét tiltani az internet felől.


Legfrissebb sérülékenységek
CVE-2024-29944 – Mozilla Firefox ESR sérülékenysége
CVE-2024-29943 – Mozilla Firefox sérülékenysége
CVE-2024-28916 – Xbox Gaming Services sérülékenysége
CVE-2023-46808 – Ivanti Neurons for ITSM sérülékenysége
CVE-2024-2169 – UDP sérülékenysége
CVE-2023-41724 – Ivanti Standalone Sentry sérülékenysége
CVE-2024-27957 – Pie Register sérülékenysége
CVE-2024-25153 – Fortra FileCatalyst sérülékenysége
CVE-2024-21407 – Windows Hyper-V sérülékenysége
CVE-2024-21390 – Microsoft Authenticator sérülékenysége
Tovább a sérülékenységekhez »