Um especialista em cibersegurança revelou recentemente uma nova vulnerabilidade de injeção de comando arbitrário e uma falha de backdoor codificada em diversos modelos de dispositivos NAS (Network Attached Storage) da marca D-Link, que já não são mais suportados.
Identificado como Netsecfish, o pesquisador aponta que o problema se encontra no script "/cgi-bin/nas_sharing.cgi", afetando especificamente o manipulador de solicitações HTTP GET.
Há dois problemas críticos que contribuem para essa vulnerabilidade, catalogada sob o código
CVE-2024-3273
.
O primeiro é uma backdoor, possibilitada pela existência de uma conta hardcoded (com o nome de usuário “messagebus” e sem uma senha), e o segundo é um problema de injeção de comando que se dá através do parâmetro “sistema”.
Quando essas questões são exploradas em conjunto, um atacante pode, remotamente, executar comandos no dispositivo afetado.
A falha de injeção de comando é acionada ao se adicionar um comando em base64 ao parâmetro “sistema” através de uma requisição HTTP GET, que depois é executada pelo sistema.
Em outros destaques do setor de cibersegurança, a D-Link reportou uma violação de dados após um ataque de phishing, e notou-se também que o malware Mirai tem como alvos vulnerabilidades em dispositivos D-Link, Zyxel, Netgear e TP-Link.
“A exploração bem-sucedida dessa vulnerabilidade pode permitir a um atacante a execução de comandos arbitrários no sistema, o que pode resultar em acesso não autorizado a informações sensíveis, alterações nas configurações do sistema ou mesmo causar uma negação de serviço”, adverte Netsecfish.
Os modelos de dispositivos NAS da D-Link impactados pelo
CVE-2024-3273
incluem:
- DNS-320L Versão 1.11, Versão 1.03.0904.2013, Versão 1.01.0702.2013
- DNS-325 Versão 1.01
- DNS-327L Versão 1.09, Versão 1.00.0409.2013
- DNS-340L versão 1.08
O pesquisador disponibilizou um sumário detalhado sobre a vulnerabilidade no GitHub.
Publicidade
Imagine voltar ao tempo dos e-zines e poder desfrutar de uma boa revista contendo as últimas novidades, mas na pegada hacking old school.
Acesse gratuitamente o Cyberpunk Guide e fique por dentro dos mais modernos dispositivos usados pelos hackers.
Saiba mais...