PT-2022-6912 · D Link · D-Link Dap-1325

Dmitry Janushkevich + 1 · Publicado 2022-09-05 · Atualizado 2025-03-12 · CVE-2023-41188

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

D-Link DAP-1325 (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores na mesma rede executem código arbitrário em instalações afetadas dos roteadores D-Link DAP-1325. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no tratamento de um parâmetro de solicitação fornecido ao endpoint SOAP HNAP1, especificamente na função SetAPLanSettings DeviceName. A vulnerabilidade resulta da falta de validação adequada de uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do root.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

RCE

OS Command Injection

Stack Overflow

Enumeração de Fraquezas

CWE-78

CWE-121

Identificadores relacionados

BDU:2023-05576

CVE-2023-41188

ZDI-23-1296

Produtos afetados

D-Link Dap-1325

Referências · 8

• https://twitter.com/TheZDIBugs/status/1699880269547803118 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-41188 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-23-1296 · Nota de Segurança
• https://twitter.com/CVEnew/status/1786822887913234762 · Publicação no Twitter
• https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10351 · Aviso do Fabricante
• https://t.me/cvenotify/114485 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2023-05576 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2023-41188 · Nota de Segurança