CVE-2022-40719

D-Link DIR-2150 versão 4.0.1

Esta vulnerabilidade permite que invasores na mesma rede executem comandos arbitrários em instalações afetadas dos roteadores D-Link DIR-2150. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no plugin xupnpd generic.lua para o serviço xupnpd, que escuta na porta TCP 4044 por padrão. Ao analisar o parâmetro feed, o processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto da conta do serviço.

Para o D-Link DIR-2150 versão 4.0.1, como solução temporária, considere desativar o serviço xupnpd até que um patch esteja disponível. Restrinja o acesso ao plug-in xupnpd generic.lua para minimizar o risco de exploração. Evite usar o parâmetro feed no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.