PT-2025-29887 · Linux+2 · Linux+2

Peter Adkins · Publicado 2025-04-15 · Atualizado 2025-07-17 · CVE-2025-34125

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas D-Link DSP-W110A1 versão 1.05B01

Descrição Existe uma vulnerabilidade de injeção de comando não autenticada no processo de manipulação de cookies do servidor web lighttpd. Isso ocorre quando valores de cookie especialmente elaborados são processados, permitindo que atacantes remotos executem comandos arbitrários no sistema operacional Linux subjacente. A exploração bem-sucedida permite o comprometimento total do sistema.

Recomendações Atualize o firmware para uma versão mais recente e corrigida. Como medida de contorno temporária, considere restringir o acesso ao processo de manipulação de cookies até que uma correção esteja disponível.

Exploit

Correção

Special Elements Injection

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-78

CWE-77

Identificadores relacionados

BDU:2025-14650

CVE-2025-34125

Produtos afetados

D-Link Dsp-W110A1

Linux

Lighttpd

Referências · 10

• 🔥 https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/dlink_dspw110_cookie_noauth_exec.rb · Exploit
• 🔥 https://exploit-db.com/exploits/37628 · Exploit
• 🔥 https://web.archive.org/web/20160125171424/https://github.com/darkarnium/secpub/tree/master/D-Link/DSP-W110 · Exploit
• https://t.me/cvetracker/28009 · Publicação no Telegram
• https://t.me/cvenotify/129242 · Publicação no Telegram
• https://vulncheck.com/advisories/dlink-dspw110a1-cookie-command-injection · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-34125 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1945671217022705765 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-14650 · Nota de Segurança
• https://twitter.com/CVEnew/status/1945598198975725919 · Publicação no Twitter