PT-2022-4848 · D Link · D-Link Dir-2150
CVE-2022-40717
·
Publicado
2022-04-01
·
Atualizado
2023-02-03
CVSS v3.1
8.8
Alta
| Vetor | AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
D-Link DIR-2150 versão 4.0.1
Descrição
O problema está relacionado a um estouro de buffer baseado em pilha no serviço anweb do roteador D-Link DIR-2150. Isso permite que um invasor remoto execute código arbitrário no dispositivo afetado. A falha existe devido à falta de validação adequada do comprimento dos dados fornecidos pelo usuário antes de copiá-los para um buffer baseado em pilha de comprimento fixo. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do root. Não é necessária autenticação para explorar essa vulnerabilidade. O serviço anweb escuta nas portas TCP 80 e 443 por padrão.
Recomendações
Para a versão 4.0.1, considere desativar o serviço anweb até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às portas TCP 80 e 443 para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Memory Corruption
Stack Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
D-Link Dir-2150