D-Link не будет исправлять уязвимость, которая затрагивает 60 тысяч устаревших модемов

Десятки тысяч уязвимых маршрутизаторов D-Link, срок службы которых истек, оказались уязвимы к критической проблеме безопасности, которая позволяет неаутентифицированному злоумышленнику удаленно изменить пароль любого пользователя и получить полный контроль над устройством.

Уязвимость была обнаружена в модеме D-Link DSL6740C исследователем безопасности Чайо-Лин Ю (Chaio-Lin Yu), который сообщил об этом в Тайваньский центр реагирования (TWCERTCC).

Данные устройства достигли фазы окончания обслуживания (EoS) в начале года.

Накануне компания D-Link официально объявила, что не будет исправлять эту проблему и рекомендует «изымать и заменять устройства D-Link, достигшие окончания жизненного цикла».

Чайо-Лин Юй также сообщил TWCERTCC о двух других уязвимостях: инъекции команд ОС и проблеме обхода пути.

Подробная информация о всех трех уязвимостях:

• CVE-2024-11068: уязвимость, позволяющая неаутентифицированным злоумышленникам изменять пароль любого пользователя через привилегированный доступ к API и получать доступ к веб-, SSH- и Telnet-службам модема. (Оценка CVSS v3: 9,8 «Критическая»).
• CVE-2024-11067: уязвимость обхода пути, позволяющая неаутентифицированным злоумышленникам читать произвольные системные файлы, получать MAC-адрес устройства и пытаться войти в систему, используя учетные данные по умолчанию. (Оценка CVSS v3: 7,5 «Высокая»)
• CVE-2024-11066: ошибка, позволяющая злоумышленникам с правами администратора выполнять произвольные команды в операционной системе хоста через определенную веб-страницу. (Оценка CVSS v3: 7,2 «Высокая»)

Быстрый поиск в поисковой системе FOFA для общедоступных устройств и программного обеспечения показывает, что через Интернет доступно около 60 000 модемов D-Link DSL6740C, большинство из которых находятся на Тайване.

TWCERTCC опубликовал рекомендации по еще четырем уязвимостям внедрения команд ОС высокой степени серьезности, которые затрагивают то же устройство D-Link. Ошибки отслеживаются по идентификаторам CVE-2024-11062, CVE-2024-11063, CVE-2024-11064, и CVE-2024-11065.

Хотя количество уязвимых устройств, представленных в общедоступной сети, является значительным, компания D-Link в прошлом ясно дала понять, что устройства с истекшим сроком службы (EoL) не покрываются обновлениями, даже если речь идет о критических ошибках.

Если пользователи не могут заменить уязвимое устройство на вариант, который поставщик все еще поддерживает, им следует по крайней мере ограничить удаленный доступ и установить надежные пароли доступа.