CVE-2014-7857

Krytyczne

Opublikowano: 25/08/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Wersje oprogramowania D-Link DNS-320L przed 1.04b12, DNS-327L przed 1.03b04 Build0119, DNR-326 1.40b03, DNS-320B 1.02b01, DNS-345 1.03b06, DNS-325 1.05b03 oraz DNS-322L 2.00b07 pozwalają zdalnym atakującym na ominięcie uwierzytelnienia i zalogowanie się z uprawnieniami administratora poprzez przekazanie polecenia cgi_set_wto w parametrze cmd oraz ustawienie ciasteczka sesji na username=admin.

Ocena ryzyka

Atakujący mogą uzyskać pełny dostęp do urządzeń, co może prowadzić do kradzieży danych lub ich usunięcia, a także do przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się aktualizację oprogramowania do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie logów dostępu.

Oryginalny opis (angielski, źródło NVD)

D-Link DNS-320L firmware before 1.04b12, DNS-327L before 1.03b04 Build0119, DNR-326 1.40b03, DNS-320B 1.02b01, DNS-345 1.03b06, DNS-325 1.05b03, and DNS-322L 2.00b07 allow remote attackers to bypass authentication and log in with administrator permissions by passing the cgi_set_wto command in the cmd parameter, and setting the spawned session's cookie to username=admin.