CVE-2020-25368
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
W urządzeniach D-Link DIR-823G z oprogramowaniem V1.0.2B05 wykryto podatność na wstrzykiwanie poleceń w protokole HNAP1. Atakujący może zdalnie wykonać dowolne polecenia systemowe poprzez przesłanie spreparowanego żądania do logowania z metaznakami powłoki w polu PrivateLogin.
Ocena ryzyka
Ryzyko polega na możliwości całkowitego przejęcia kontroli nad urządzeniem przez nieuwierzytelnionego atakującego, co może prowadzić do naruszenia bezpieczeństwa sieci, kradzieży danych lub wykorzystania routera jako elementu botnetu.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe (firmware) urządzenia D-Link DIR-823G do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy rozważyć wymianę urządzenia na model z aktualnym wsparciem producenta.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability was discovered in the HNAP1 protocol in D-Link DIR-823G devices with firmware V1.0.2B05. An attacker is able to execute arbitrary web scripts via shell metacharacters in the PrivateLogin field to Login.