Dezenas de milhares de roteadores D-Link expostos que alcançaram o fim de sua vida útil estão vulneráveis a um grave problema de segurança que permite a um atacante remoto não autenticado alterar a senha de qualquer usuário e assumir o controle completo do dispositivo.
A vulnerabilidade foi descoberta no modem D-Link DSL6740C pelo pesquisador de segurança Chaio-Lin Yu (Steven Meow), que reportou à Taiwan's computer and response center (TWCERTCC).
É importante notar que o dispositivo não estava disponível nos EUA e alcançou a fase de fim de serviço (EoS) no início do ano.
Em um comunicado hoje, a D-Link anunciou que não corrigirá o problema e recomenda "aposentar e substituir os dispositivos D-Link que alcançaram o EOL/EOS."
Chaio-Lin Yu reportou ao TWCERTCC mais duas vulnerabilidades, uma injeção de comando no OS e um problema de path traversal:
As três falhas são resumidas da seguinte forma:
CVE-2024-11068
: Falha que permite a atacantes não autenticados modificar a senha de qualquer usuário por meio de acesso privilegiado à API, concedendo-lhes acesso aos serviços Web, SSH e Telnet do modem.
(Pontuação CVSS v3: 9,8 “crítico”).
CVE-2024-11067
: Vulnerabilidade de path traversal permitindo atacantes não autenticados ler arquivos do sistema arbitrários, recuperar o endereço MAC do dispositivo e tentar o login usando as credenciais padrão.
(Pontuação CVSS v3: 7,5 “alto”)
CVE-2024-11066
: Bug que permite a atacantes com privilégios de admin executar comandos arbitrários no sistema operacional host por meio de uma página web específica.
(Pontuação CVSS v3: 7,2 “alto”)
Uma rápida pesquisa no motor de busca FOFA por dispositivos e software publicamente expostos mostra que há perto de 60.000 modems D-Link DSL6740C acessíveis pela internet, a maioria deles em Taiwan.
O TWCERTCC publicou avisos para mais quatro vulnerabilidades de injeção de comando no OS de alta gravidade que afetam o mesmo dispositivo D-Link.
Os bugs são rastreados como
CVE-2024-11062
,
CVE-2024-11063
,
CVE-2024-11064
e
CVE-2024-11065
.
Embora o número de dispositivos vulneráveis expostos na web pública seja significativo, a D-Link deixou claro no passado [1, 2] que dispositivos no fim de vida (EoL) não são cobertos por atualizações, mesmo quando se trata de bugs críticos.
Se os usuários não conseguirem substituir o dispositivo afetado por uma variante que o fornecedor ainda suporta, eles devem pelo menos restringir o acesso remoto e definir senhas de acesso seguras.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...