PT-2021-17144 · D Link · D-Link Dir-816 A2

Publicado 2021-03-30 · Atualizado 2022-07-12 · CVE-2021-26810

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

D-link DIR-816 A2 versão 1.10

Descrição:

O problema está relacionado a uma vulnerabilidade de injeção remota de código. Envolve o uso de um parâmetro de solicitação HTTP na construção da string de comando dentro da função de manipulador do endpoint “/goform/dir setWanWifi”. Isso pode levar à injeção de comando por meio de metacaracteres de shell no parâmetro statuscheckpppoeuser.

Recomendações:

Para o D-link DIR-816 A2 versão 1.10, como solução temporária, considere restringir o acesso ao endpoint “/goform/dir setWanWifi” para minimizar o risco de exploração. Evite usar o parâmetro statuscheckpppoeuser no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-26810

Produtos afetados

D-Link Dir-816 A2

Referências · 5

• 🔥❌ https://github.com/GD008/vuln/blob/main/DIR-816.md · Exploit, Deleted
• https://t.me/cvenotify/12747 · Publicação no Telegram
• https://dlink.com/en/security-bulletin · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-26810 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-26810 · Nota de Segurança