Los investigadores de seguridad revelaron una nueva vulnerabilidad de inyección de comandos no autenticada en algunos de los enrutadores D-link. La vulnerabilidad puede rastrearse como CVE-2019-16920 y clasificarse como crítica
La explotación exitosa de la vulnerabilidad da como resultado la ejecución remota de código, un atacante puede activar la vulnerabilidad de forma remota para acceder a la página de inicio de sesión del enrutador sin autenticación.
La vulnerabilidad fue revelada por FortiGuard Labs de Fortinet y se ha informado a D-Link. Pero la mala noticia aquí es que estos productos afectados están en el soporte de End of Life (EOL).
Los siguientes son los productos afectados: DIR-655, DIR-866L, DIR-652, DHP-1565
La vulnerabilidad comienza con una comprobación de autenticación deficiente para la página de administración del enrutador, el atacante envía una solicitud de ping arbitraria a la interfaz de puerta de enlace del dispositivo que conduce a la inyección de comandos.
“Si intentamos ingresar cualquier carácter especial, como una comilla doble, comilla, punto y coma, etc., el ping falla. Desafortunadamente, si pasamos el carácter de nueva línea, por ejemplo, 8.8.8.8% 0als, podemos realizar el ataque de Inyección de Comando ”, se lee en el informe Fortinet.
La inyección de comandos exitosa permite a los atacantes obtener un control completo sobre el sistema, al obtener acceso al dispositivo, los atacantes pueden robar credenciales de inicio de sesión o instalar puertas traseras en el servidor.
D-link dijo que “los productos han ingresado al final de la vida útil. No hay soporte o desarrollo para estos dispositivos. Recomendamos reemplazar el dispositivo con un nuevo dispositivo que sea compatible activamente. El uso de estos dispositivos es bajo su propio riesgo, D-Link no recomienda su uso posterior ".
Recientemente se reveló una vulnerabilidad remota crítica en los dispositivos D-link DNS-320 , esa vulnerabilidad reside en el módulo de inicio de sesión que permite a los atacantes acceder al dispositivo de forma remota.
Fecha actualización el 2021-10-09. Fecha publicación el 2019-10-09. Categoría: hackers Autor: Oscar olg Mapa del sitio Fuente: gbhackers Version movil