宁夏回族自治区通信管理局
网络与信息安全
2017-12-11
工业和信息化部关于开展“工业和...
2017-12-11
关于开展“工业和信息化部ICP...
2017-12-11
关于开展“ICP/IP地址/域...
2017-12-11
关于开展“工业和信息化部ICP...
2017-08-22
关于D-Link DIR系列路...
2017-08-22
关于NetSarang公司Xs...
2017-08-22
宁夏网络安全情况月通报(201...
2017-08-22
宁夏网络安全情况月通报(201...
2017-08-22
宁夏网络安全情况月通报(201...
2017-08-22
宁夏网络安全情况月通报(201...
 
    网络与信息安全 您的位置>>首页>>网络与信息安全>>漏洞预警>>正文
关于D-Link DIR系列路由器存在身份验证信息泄露和远程命令执行漏洞的安全公告
[上传者:Super | 日期:2017-08-22 00:00:00]
 安全公告编号:CNTA-2017-0059

近日,国家信息安全漏洞共享平台(CNVD)收录了D-Link DIR系列路由器身份验证信息泄露漏洞和远程命令执行漏洞(CNVD-2017-20002CNVD-2017-20001)。远程攻击者利用漏洞可获取路由器后台登录凭证并执行任意代码。相关利用代码已在互联网公开,受到影响的设备数量根据标定超过20万台,有可能会诱发大规模的网络攻击。

一、漏洞情况分析

D-Link(即友讯网络)是一家生产网络硬件和软件产品的企业,主要产品有交换机、无线产品、宽带产品、网卡、路由器、网络摄像机和网络安全产品(防火墙)等。根据CNVD秘书处分析情况,D-Link DIR系列路由器存在身份验证绕过漏洞和远程命令执行漏洞如下所示:

(一)身份验证信息泄露漏洞:当管理员登录到设备时会触发全局变量:$authorized_group > = 1。远程攻击者可以使用这个全局变量绕过安全检查,并使用它来读取任意文件,获取管理员账号密码等敏感信息。

(二)远程命令执行漏洞:由于fatlady.php页面未对加载的文件后缀(默认为XML)进行校验,远程攻击者可利用该缺陷以修改后缀方式直接读取(DEVICE.ACCOUNT.xml.php)获得管理员账号密码,后续通过触发设备NTP服务方式注入系统指令,取得设备控制权。

CNVD对上述风险的综合评级为高危

二、漏洞影响范围

根据CNVD技术成员单位——北京知道创宇信息技术有限公司验证情况,受漏洞影响的D-Link 路由器型号不限于官方厂商确认的DIR-850L型号,相关受影响的型号还包括DIR-868LDIR-600DIR-860LDIR-815DIR-890LDIR-610LDIR-822

根据知道创宇公司普查结果,DIR-815L在互联网上标定有177989IP,其他型号数量规模较大的有:DIR-600(31089 )DIR-868L(23963)DIR-860L(6390 )DIR-815(2482 )

三、漏洞修复建议

上述漏洞来源于国外厂商Beyond Security 20176月组织的Hack2Win漏洞奖励竞赛,相关漏油已提交D-Link厂商,厂商已经发布了补丁Firmware: 1.14B07 BETA 修复漏洞。CNVD建议相关用户尽快升级路由器固件。官方补丁:http://support.dlink.com/ProductInfo.aspx?m=DIR-850L

临时解决方案:

针对不能及时升级的路由器固件的用户,如有必要请及时关闭互联网上对路由器的管理访问权限(一般是通过设置广域网WAN对设备访问控制策略实现)。

附:参考链接:

https://blogs.securiteam.com/index.php/archives/3364

https://www.seebug.org/vuldb/ssvid-96333

http://www.cnvd.org.cn/flaw/show/CNVD-2017-20001

http://www.cnvd.org.cn/flaw/show/CNVD-2017-20002

 

[ 加入收藏 ]   [ 打 印 ] [ 关 闭 ]
上一篇:关于宁夏用户被感染“魔鼬”木马 有关情况的通报
下一篇:关于NetSarang公司Xshell等多种产品源码后门威胁...
宁夏回族自治区通信管理局
             
Copyright © 2010 NingXia Communications Administration.宁夏回族自治区通信管理局版权所有
技术支持: 宁夏卓远信科网络技术有限公司 宁ICP备05000001号