PT-2022-23607 · D Link · D-Link Dir-845L

CVE-2022-36755 · Publicado 2022-08-28 · Atualizado 2023-08-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

D-Link DIR845L versão A1

Descrição

O problema diz respeito a uma vulnerabilidade de autenticação. Ela pode ser explorada por meio do valor AUTHORIZED GROUP=1. Isso é demonstrado enviando-se uma solicitação para “getcfg.php”, um ponto de extremidade da API.

Recomendações

Para o D-Link DIR845L versão A1, considere restringir o acesso ao endpoint “getcfg.php” até que uma correção esteja disponível. Como solução temporária, evite usar a variável AUTHORIZED GROUP com o valor 1 em solicitações a endpoints vulneráveis.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2022-36755

Produtos afetados

D-Link Dir-845L

Referências · 4

• 🔥 https://drive.google.com/file/d/1yc4aYBiU_ao-YYCNGPfayhwWIaXxkWQJ/view?usp=sharing · Exploit
• https://osv.dev/vulnerability/CVE-2022-36755 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36755 · Nota de Segurança
• https://dlink.com/en/security-bulletin · Aviso do Fabricante