Тайванският производител на мрежов хардуер D-Link обяви в понеделник кръпки за множество уязвимости с критична стойност, които могат да доведат до отдалечено изпълнение на код.

Два от критичните недостатъци, обозначени като CVE-2024-45694 и CVE-2024-45695 (CVSS оценка 9,8), са описани като проблеми с препълване на буфера на базата на стека в уеб услугата на няколко безжични маршрутизатора.

И двата дефекта в сигурността, отбелязва D-Link в своята консултация, могат да бъдат използвани от отдалечени, неавтентифицирани атакуващи, за да изпълнят произволен код на засегнатите устройства.

Друг критичен бъг, проследен като CVE-2024-45697 (CVSS оценка 9,8), може да позволи на отдалечени атакуващи да влязат в уязвимите маршрутизатори и да изпълняват системни команди, използвайки твърдо кодирани идентификационни данни.

„Някои модели безжични маршрутизатори D-Link имат скрита функционалност: услугата telnet се активира, когато WAN портът е включен“, обяснява D-Link.

Производителят публикува и поправки за CVE-2024-45696 – уязвимост с висока степен на опасност, която може да позволи на атакуващите да активират услугата telnet и да използват твърдо кодирани пълномощия, за да влязат в устройството.

„Нападателят може принудително да активира услугата telnet и да влезе в устройството, като използва твърдо кодирани идентификационни данни, като изпрати специфични пакети към уеб услугата. До услугата telnet, активирана чрез този метод, може да се получи достъп само от същата локална мрежа като устройството“, обяснява D-Link.

Друг проблем с висока степен на опасност, който D-Link е разрешил, съществува поради това, че въведените от потребителя данни не се валидират правилно в услугата telnet на някои модели безжични маршрутизатори. Недостатъкът се проследява като CVE-2024-45698.

„Това позволява на неавтентифицирани, отдалечени атакуващи да използват твърдо кодирани идентификационни данни, за да влязат в telnet и да инжектират произволни команди на операционната система, които след това могат да бъдат изпълнени на устройството“, обяснява производителят.

Петте бъга засягат безжичните маршрутизатори COVR-X1870, DIR-X5460 и DIR-X4860 на D-Link. Обновленията на фърмуера, които отстраняват дефектите в сигурността, бяха пуснати на 13 септември, съобщават от компанията.

D-Link също така разкри, че проблемите са й били докладвани чрез TWCERT (Тайвански екип за реагиране при компютърни инциденти/Координационен център) на 8 юни и че репортерът е публикувал информация за бъговете, преди компанията да успее да пусне пачове.

„Третата страна оповести публично проблема, преди кръпките да бъдат налични по нашия стандартен 90-дневен график за пускане на кръпки за сигурност. Не препоръчваме на изследователите по сигурността да действат по този начин, тъй като те излагат крайните потребители на допълнителни рискове, без да са налични кръпки от производителя“, заявиха от D-Link.