PT-2022-1554 · D Link · D-Link Dir-823-Pro

Publicado 2022-01-24 · Atualizado 2022-03-10 · CVE-2021-46452

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

D-Link DIR-823-Pro versão 1.0.2

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de comando na função SetNetworkTomographySettings. Essa vulnerabilidade permite que invasores executem comandos arbitrários por meio dos parâmetros tomography ping address, tomography ping number, tomography ping size, tomography ping timeout e tomography ping ttl. A vulnerabilidade é causada por validação insuficiente de entrada ao processar esses parâmetros.

Recomendações

Para o D-Link DIR-823-Pro versão 1.0.2, como solução temporária, considere desativar a função SetNetworkTomographySettings até que um patch esteja disponível. Restrinja o acesso aos parâmetros tomography ping address, tomography ping number, tomography ping size, tomography ping timeout e tomography ping ttl para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

BDU:2022-00771

CVE-2021-46452

Produtos afetados

D-Link Dir-823-Pro

Referências · 10

• ❌ https://github.com/pjqwudi/my_vuln/blob/main/D-link/vuln_27/27.md · Nota, Deleted
• https://dlink.com/en/security-bulletin · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-00771 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-46452 · Nota de Segurança
• https://t.me/cibsecurity/36812 · Publicação no Telegram
• https://t.me/cvenotify/26242 · Publicação no Telegram
• https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10285 · Aviso do Fabricante
• https://vuldb.com/ru/?id.192246 · Nota
• https://osv.dev/vulnerability/CVE-2021-46452 · Aviso do Fabricante
• https://t.me/cvenotify/26251 · Publicação no Telegram