PT-2021-4645

CVE-2021-40654

Publicado

2021-09-03

Atualizado

2022-07-12

Descrição por

CVSS 2.0

6.8

Média

MétricasAV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

D-LINK-DIR-615 B2 versão 2.01mt

D-Link DIR-615 Q1 (versões afetadas não especificadas)

Descrição

Existe uma falha de divulgação de informações que permite que um invasor obtenha um nome de usuário e senha ao falsificar uma solicitação POST para a página “/getcfg.php”. Isso se deve à proteção insuficiente dos dados de registro, que pode ser explorada por um invasor remoto para obter acesso não autorizado a informações protegidas.

Recomendações

Para o D-LINK-DIR-615 B2 versão 2.01mt: como solução temporária, considere restringir o acesso à página “/getcfg.php” até que um patch esteja disponível.

Para o D-Link DIR-615 Q1: no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-522: Insufficiently Protected Credentials

CWE-863: Incorrect Authorization

Identificadores relacionados

CVE-2021-40654