CVE-2022-43627

D-Link DIR-1935 versão 1.03

O problema está relacionado ao tratamento de solicitações SetStaticRouteIPv4Settings no portal de gerenciamento web, especificamente ao analisar subelementos dentro do elemento StaticRouteIPv4Data. O processo não valida adequadamente uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema, permitindo que um invasor execute código arbitrário no contexto do root. Embora seja necessária autenticação para explorar essa vulnerabilidade, o mecanismo de autenticação existente pode ser contornado.

Para o D-Link DIR-1935 versão 1.03, como solução temporária, considere desativar a função SetStaticRouteIPv4Settings até que um patch esteja disponível. Restrinja o acesso ao portal de gerenciamento web para minimizar o risco de exploração. Evite usar o elemento StaticRouteIPv4Data no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.