D-Link, DIR-3040 AC3000 tabanlı kablosuz internet yönlendiricisindeki birden fazla güvenlik açıkını ele almak için bir ürün yazılımı düzeltmesi yapmıştır.
Başarılı bir şekilde sömürünün ardından, saldırganların, açılmamış yönlendiriciler üzerinde keyfi kod yürütmesine izin verebilir, hassas bilgilere erişim kazandırır veya bir hizmetin reddedilmesini tetikledikten sonra yönlendiricileri çarpıştırın.
Cisco Talos Security Researcher Dave McDaniel tarafından keşfedilen ve bildirilen DIR-3040 güvenlik kusurları, sert şifreler, komut enjeksiyonu ve bilgi açıklama hataları bulunur.
CVE-2021-21818 ve CVE-2021-21820 sert kodlanmış şifre ve kimlik bilgileri güvenlik açıkları [1, 2] yönlendiricinin Zebra IP Yönlendirme Yöneticisi'nde ve Libcli Test Ortamı işlevselliğinde mevcuttur.
İkisi de, tehdit aktörlerinin, yazılım yöneticisi tarafından yapılandırılmış olan kimlik doğrulama işlemini atlamak için savunmasız D-Link DIR-3040 yönlendiricilerini hedeflemenizi sağlar.
Saldırganlar, sırasıyla hedeflenen yönlendiricideki hizmet ve kod yürütülmesine neden olan özel hazırlanmış ağ talepleri dizisi göndererek tetikleyebilirler.
CVE-2021-21819, yönlendiricinin Libcli test ortam işlevselliğinde bulunan kritik bir işletim sistemi komut enjeksiyon güvenlik açığı, kod yürütülmesi için rakipler tarafından da istismar edilebilir.
Ek olarak, "HTTPS: /// Start_Telnet'i ziyaret ederek kimlik doğrulaması olmadan başlatılamayan bir" Gizli Telnet hizmeti başlatılabilmesi mümkün kılar ve yönlendiricinin üzerinde şifrelenmemiş biçimde depolanan varsayılan bir şifre kullanarak Libcli test ortamına giriş yapın.
D-Link, firmware sürüm 1.13b03'te bulunan böcekleri çözdü ve 15 Temmuz 2021'de etkilenen tüm müşteriler için bir ürün yazılımı düzeltmesi yayınladı, burada indirin.
Bu düzeltmeyle D-Link tarafından ele alınan güvenlik açıklarının tam listesi şunları içerir:
D-Link, Cisco Talos'un bulunduğu hataları ele almak için serbest bırakılan firmware düzeltmesinin "bir cihaz beta yazılımı, beta üretici yazılımı veya resmi sürümünden önce nihai test geçiren sıcak düzeltme sürümü" olduğunu söylüyor.
Aşağıdaki tablo, hassas yönlendirici modelleri ve düzeltmeyi içeren güncellenmiş ürün yazılımı sürümüne bağlantıları listeler.
1) Lütfen düzeltme ekini indirin ve güncelleme cihazını indirin
2) D-link WiFi mobil uygulamasında otomatik f / w güncelleme bildirimi için tam QA ürün yazılımı
D-Link, saldırganların savunmasız cihazların kontrolünü gerçekleştirmesini sağlayan uzaktan kumanda enjeksiyon hataları dahil olmak üzere geçmişte birden fazla yönlendirici modelde diğer ciddi güvenlik açıklarını yamaladı.
Daha önce, şirket, tehdit aktörlerinin yönetici kimlik bilgilerini, bypass kimlik doğrulamasını yapmalarını, kimlik doğrulamasını, bypass kimlik doğrulamasını yapmasını ve rasgele kodu yürütmesini mümkün kılan bazı yönlendiricileri etkileyen beş kritik güvenlik açıkını çözdü.
Kritik CloudFlare CDN Kusuruna, tüm sitelerin% 12'sinden ödün verildi
Google, ikinci aktif olarak sömürülen Chrome'u bu ay düzeltti.
HPE Aralık ayında açıklanan kritik sıfır gün güvenlik açığını düzeltir
CISA, Federal Ajansları Windows Patch PriceNnightMare Hatası'na emir
Zip kayma güvenlik açığı, birden fazla ekosistemde binlerce projeyi etkiler
Kaynak: Bleeping Computer