PT-2022-5330 · D Link · D-Link Dir-846

CVE-2020-21016

·

Publicado

2022-10-31

·

Atualizado

2022-11-01

CVSS v2.0

10

Crítica

VetorAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
D-Link DIR-846 versão 100A35
Descrição
O problema está relacionado à validação insuficiente de argumentos em um comando, permitindo que invasores remotos executem código arbitrário como root. Isso pode ser feito por meio de uma solicitação especialmente criada para o endpoint “HNAP1/control/SetGuestWLanSettings.php”.
Recomendações
Para o D-Link DIR-846 versão 100A35, considere desativar o acesso ao endpoint HNAP1/control/SetGuestWLanSettings.php até que uma correção esteja disponível. Restringir o uso do protocolo HNAP1 também pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Code Injection

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-94CWE-78

Identificadores relacionados

BDU:2022-06644
CVE-2020-21016

Produtos afetados

D-Link Dir-846