Обнаружены критические уязвимости в устройствах D-Link

ИБ-исследователь из Search-Lab Гергей Эберхард (Gergely Eberhardt) обнаружил множественные  уязвимости  в нескольких продуктах D-Link. Некоторые бреши позволяют злоумышленнику обойти аутентификацию или загрузить произвольные файлы на целевое устройство.

Уязвимости выявлены в различных сетевых устройствах хранения данных D-Link, включая D-Link DNS-320, 320L, 326, 327L, 320B, 345, 325 и 322L. Эксперт сообщил, что не каждая модель подвержена всем уязвимостям. Самой распространенной специалист отмечает брешь, которая позволяет обойти аутентификацию. В общей сложности специалист сообщил о 53 брешах безопасности в последней версии прошивки от 30.07.2014.

Для аутентификации пользователей login_mgr.cgi использует системные учетные данные. Поскольку приложение обращается напрямую к файлу /etc/shadow, злоумышленник может успешно авторизоваться на устройстве, используя любую системную учетную запись. По умолчанию, в файле хранятся данные нескольких учетных записей, включая admin, root и nobody. При этом, пароли к вышеперечисленным учетным записям были пустыми. По идее, во время настройки устройства администратор должен был сменить пароли по умолчанию, однако административный интерфейс позволял менять пароль только для учетной записи admin. Таким образом, злоумышленник мог успешно авторизоваться под учетной записью root без пароля и получить полный доступ к устройству.

ИБ-исследователь также обнаружил бэкдор в D-Link DNS-320L, 327L, 320B, 345, 325, 322L и DNR-326, с помощью которого злоумышленник может получить полный доступ к устройству.

D-Link уже выпустила обновления прошивки для устранения некоторых из данных проблем.