Исследователь безопасности Netsecfish обнаружил критический недостаток в нескольких популярных моделях сетевых хранилищ D-Link, который может позволить неавторизованному злоумышленнику выполнить атаку с внедрением команд через HTTP GET-запрос. Согласно сайту Netsecfish's Notion (h/t BleepingComputer), уязвимость кроется в скрипте account_mgr.cgi, в который можно добавить вредоносный ввод в параметре name для выполнения эксплойта. Эта проблема отслеживается в Национальной базе данных уязвимостей (NVD) как CVE-2024-10914 и объявлена критическим дефектом с оценкой серьезности 9.2.
Проблема затрагивает следующие модели D-Link: DNS-320 версии 1.00, DNS-320LW версии 1.01.0914.2012, DNS-325 версии 1.01, версии 1.02 и DNS-340L версии 1.08.
К сожалению для пользователей этих устройств, компания D-Link отказалась выпустить патч безопасности для этой проблемы, отметив, что «продукты, достигшие EOL/EOS, больше не получают обновлений программного обеспечения и патчей безопасности и больше не поддерживаются компанией D-Link».
Все затронутые модели достигли даты окончания срока службы/выхода из эксплуатации в 2020 году, и «D-Link US рекомендует вывести из эксплуатации и заменить устройства D-Link, достигшие EOL/EOS».
Компания Netsecfish провела FOFA по затронутым моделям D-Link, и платформа выдала 61 147 результатов с 41 097 уникальными IP-адресами. Хотя NVD утверждает, что сложность атаки может быть высокой, а эксплуатация уязвимости - сложной, любой человек, обладающий знаниями и возможностями, теоретически может получить доступ к любому из этих общедоступных сетевых хранилищ D-Link.
Если вы используете одну из этих моделей, настоятельно рекомендуется заменить систему NAS на ту, которая все еще получает исправления от производителя. Если это невозможно сделать прямо сейчас, Netsecfish предлагает ограничить доступ к меню/интерфейсу настроек NAS только доверенными IP-адресами. Вы также можете изолировать NAS от публичного интернета, чтобы гарантировать, что только авторизованные пользователи могут взаимодействовать с ним.
В качестве альтернативы можно поискать прошивку стороннего производителя, поддерживающую пострадавшее оборудование. Однако вы должны убедиться, что загружаете прошивку из надежного источника. Но если вы считаете, что пришло время приобрести новое сетевое хранилище для дома, офиса или предприятия, вам следует ознакомиться с нашим списком лучших сетевых хранилищ, прежде чем выбрать одно из них для установки.
Оригинал
Уникальность
