Το D-Link δεν θα διορθώσει κρίσιμο σφάλμα σε 60.000 εκτεθειμένα μόντεμ EoL

Δεκάδες χιλιάδες εκτεθειμένοι δρομολογητές D-Link που έχουν φτάσει στο τέλος της ζωής τους είναι ευάλωτοι σε ένα κρίσιμο ζήτημα ασφάλειας που επιτρέπει σε έναν μη επιβεβαιωμένο απομακρυσμένο εισβολέα να αλλάξει τον κωδικό πρόσβασης οποιουδήποτε χρήστη και να αναλάβει τον πλήρη έλεγχο της συσκευής.

Η ευπάθεια ανακαλύφθηκε στο μόντεμ D-Link DSL6740C από τον ερευνητή ασφαλείας Chaio-Lin Yu (Steven Meow), ο οποίος το ανέφερε στο κέντρο υπολογιστών και απόκρισης της Ταϊβάν (TWCERTCC).

Αξίζει να σημειωθεί ότι η συσκευή δεν ήταν διαθέσιμη στις ΗΠΑ και έφτασε στο τέλος της υπηρεσίας (EoS) στις αρχές του έτους.

Σε μια συμβουλευτικός σήμερα, η D-Link ανακοίνωσε ότι δεν θα διορθώσει το πρόβλημα και συνιστά “την απόσυρση και την αντικατάσταση συσκευών D-Link που έχουν φτάσει στο EOL/EOS”.

Ο Chaio-Lin Yu ανέφερε στο TWCERTCC δύο άλλες ευπάθειες, μια ένεση εντολής λειτουργικού συστήματος και ένα πρόβλημα διέλευσης διαδρομής:

Τα τρία ζητήματα ελαττωμάτων συνοψίζονται ως εξής:

• CVE-2024-11068: Ελάττωμα που επιτρέπει σε εισβολείς χωρίς έλεγχο ταυτότητας να τροποποιούν τον κωδικό πρόσβασης οποιουδήποτε χρήστη μέσω προνομιακής πρόσβασης API, παρέχοντάς τους πρόσβαση στις υπηρεσίες Web, SSH και Telnet του μόντεμ. (Βαθμολογία CVSS v3: 9,8 «κρίσιμο»).
• CVE-2024-11067: Ευπάθεια διέλευσης διαδρομής που επιτρέπει στους εισβολείς χωρίς έλεγχο ταυτότητας να διαβάζουν αυθαίρετα αρχεία συστήματος, να ανακτούν τη διεύθυνση MAC της συσκευής και να επιχειρούν να συνδεθούν χρησιμοποιώντας τα προεπιλεγμένα διαπιστευτήρια. (Βαθμολογία CVSS v3: 7,5 “υψηλή”)
• CVE-2024-11066: Σφάλμα που επιτρέπει σε εισβολείς με δικαιώματα διαχειριστή να εκτελούν αυθαίρετες εντολές στο λειτουργικό σύστημα του κεντρικού υπολογιστή μέσω μιας συγκεκριμένης ιστοσελίδας. (Βαθμολογία CVSS v3: 7,2 “υψηλή”)

Μια γρήγορη αναζήτηση στη μηχανή αναζήτησης FOFA για συσκευές και λογισμικό που εκτίθενται στο κοινό δείχνει ότι υπάρχουν σχεδόν 60.000 μόντεμ D-Link DSL6740C προσβάσιμα μέσω του Διαδικτύου, τα περισσότερα από αυτά στην Ταϊβάν.

Το TWCERTCC δημοσίευσε προειδοποιήσεις για τέσσερα ακόμη τρωτά σημεία έγχυσης εντολών λειτουργικού συστήματος υψηλής σοβαρότητας που επηρεάζουν την ίδια συσκευή D-Link. Τα σφάλματα παρακολουθούνται ως CVE-2024-11062, CVE-2024-11063, CVE-2024-11064και CVE-2024-11065.

Αν και ο αριθμός των ευάλωτων συσκευών που εκτίθενται στον δημόσιο ιστό είναι σημαντικός, η D-Link το έχει καταστήσει σαφές στο παρελθόν [1, 2] ότι οι συσκευές στο τέλος του κύκλου ζωής (EoL) δεν καλύπτονται από ενημερώσεις, ακόμη και όταν πρόκειται για κρίσιμα σφάλματα.

Εάν οι χρήστες δεν μπορούν να αντικαταστήσουν τη συσκευή που επηρεάζεται με μια παραλλαγή που εξακολουθεί να υποστηρίζει ο προμηθευτής, θα πρέπει τουλάχιστον να περιορίσουν την απομακρυσμένη πρόσβαση και να ορίσουν κωδικούς πρόσβασης ασφαλούς πρόσβασης.