PT-2024-3697 · D Link · D-Link Dar-8000+1

·

CVE-2024-4964

·

Publicado

2024-05-15

·

Atualizado

2024-08-01

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do D-Link DAR-7000 anteriores à versão mais recente suportada
Versões do D-Link DAR-8000 anteriores à versão mais recente suportada
Descrição
O problema está relacionado a uma vulnerabilidade de upload de arquivos sem restrições no arquivo /firewall/urlblist.php do software dos roteadores D-Link DAR-7000 e DAR-8000. Essa vulnerabilidade pode ser explorada remotamente, permitindo que um invasor execute código arbitrário. A manipulação do argumento file leva a esse upload sem restrições. O ataque pode ser iniciado remotamente.
Recomendações
Para o D-Link DAR-7000 e DAR-8000, retire e substitua os produtos, pois eles estão no fim da vida útil e não são mais suportados pelo mantenedor.
Como solução temporária, considere restringir o acesso ao arquivo /firewall/urlblist.php até que o problema seja resolvido.
Evite usar o argumento file no endpoint da API afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Unrestricted File Upload

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-04041
CVE-2024-4964

Produtos afetados

D-Link Dar-7000
D-Link Dar-8000