CVE-2020-27862

Versões do D-Link DVA-2800 anteriores à 2.3

Versões do D-Link DSL-2888A anteriores à 2.3

Esta vulnerabilidade permite que invasores na mesma rede executem código arbitrário em instalações afetadas de roteadores D-Link. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no serviço dhttpd, que escuta na porta TCP 8008 por padrão. Ao analisar o parâmetro path, o processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do servidor web.

Para versões do D-Link DVA-2800 anteriores à 2.3, atualize para a versão 2.3 ou posterior para resolver a vulnerabilidade.

Para versões do D-Link DSL-2888A anteriores à 2.3, atualize para a versão 2.3 ou posterior para resolver a vulnerabilidade.

Como solução temporária, considere desativar o serviço dhttpd até que um patch esteja disponível.

Restrinja o acesso ao serviço dhttpd, que escuta na porta TCP 8008 por padrão, para minimizar o risco de exploração.