Aktywnie wykorzystywana w atakach
D-Link Multiple NAS Devices Use of Hard-Coded Credentials Vulnerability
D-Link - Multiple NAS Devices · Figuruje w katalogu CISA KEV od 2024-04-11. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: This vulnerability affects legacy D-Link products. All associated hardware revisions have reached their end-of-life (EOL) or end-of-service (EOS) life cycle and should be retired and replaced per vendor instructions.
CVE-2024-3272
KrytyczneCVSS 9.8KEVStreszczenie
W urządzeniach D-Link DNS-320L, DNS-325, DNS-327L i DNS-340L (do wersji 20240403) istnieje podatność polegająca na użyciu zakodowanych na stałe poświadczeń w pliku /cgi-bin/nas_sharing.cgi. Atakujący może zdalnie wykorzystać tę lukę.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego dostępu do urządzenia z uprawnieniami administratora, co może prowadzić do pełnej kompromitacji urządzenia i danych na nim przechowywanych.
Rekomendacja
Ze względu na zakończenie wsparcia dla tych produktów, zaleca się ich wycofanie i zastąpienie nowszymi, wspieranymi urządzeniami.
Powiązane podatności
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70200Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70009Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Arc pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69865Krytyczne
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w Microsoft Container Registry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69399Krytyczne
Podatność typu Elevation of Privilege (podniesienie uprawnień) w usłudze Azure Arc. Szczegóły techniczne nie zostały podane w opisie.
- CVE-2026-76949Krytyczne
Podatność w bibliotece ash_authentication (Elixir) pozwala atakującemu, który zdoła umieścić w przeglądarce ofiary ciasteczko remember-me, zastąpić uwierzytelnioną sesję ofiary sesją własnego konta. Problem wynika z niezgodności kluczy sesji używanych przez mechanizm sprawdzający i odczytujący sesję, przez co logowanie remember-me jest wykonywane przy każdym żądaniu.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** A vulnerability, which was classified as very critical, has been found in D-Link DNS-320L, DNS-325, DNS-327L and DNS-340L up to 20240403. This issue affects some unknown processing of the file /cgi-bin/nas_sharing.cgi of the component HTTP GET Request Handler. The manipulation of the argument user with the input messagebus leads to hard-coded credentials. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-259283. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. NOTE: Vendor was contacted early and confirmed immediately that the product is end-of-life. It should be retired and replaced.