CVE-2021-34204
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Router D-Link DIR-2640-US w wersji 1.01B04 przechowuje hasło systemowe w postaci jawnego tekstu. Urządzenie nie korzysta z zarządzania użytkownikami systemu Linux, a hasła są identyczne dla wszystkich urządzeń i nie mogą być zmienione przez zwykłych użytkowników. Atakujący może łatwo zalogować się przez port szeregowy i uzyskać uprawnienia root.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad routerem przez atakującego, który może uzyskać dostęp do sieci wewnętrznej, przechwytywać ruch lub modyfikować konfigurację urządzenia.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera do najnowszej dostępnej wersji lub rozważyć wymianę urządzenia na model bez tej podatności. Jeśli aktualizacja nie jest możliwa, należy ograniczyć fizyczny dostęp do portu szeregowego.
Oryginalny opis (angielski, źródło NVD)
D-Link DIR-2640-US 1.01B04 is affected by Insufficiently Protected Credentials. D-Link AC2600(DIR-2640) stores the device system account password in plain text. It does not use linux user management. In addition, the passwords of all devices are the same, and they cannot be modified by normal users. An attacker can easily log in to the target router through the serial port and obtain root privileges.