CVE-2021-34863

D-Link DAP-2020 versão 1.01rc001

O problema está relacionado a um estouro de buffer baseado na pilha ao processar o parâmetro var:page fornecido ao endpoint “webproc”. Isso ocorre devido à falta de validação adequada do comprimento dos dados fornecidos pelo usuário antes de copiá-los para um buffer baseado em pilha de comprimento fixo. Um invasor pode explorar essa vulnerabilidade para executar código no contexto do root. Não há informações sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa falha tenha sido explorada.

Para o D-Link DAP-2020 versão 1.01rc001, como solução temporária, considere restringir o acesso ao endpoint “webproc” até que um patch esteja disponível. Evite usar o parâmetro var:page no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.