D-Link: «Да, в нашем роутере 4 дыры, но исправлять их мы не планируем»

Компания D-Link предупредила своих клиентов о наличии четырёх уязвимостей, позволяющих удалённо выполнять код (RCE), в роутерах модели DIR-846W. Уязвимости затрагивают все версии оборудования и прошивки, однако исправления выпущены не будут, так как продукт больше не поддерживается.

Эти уязвимости, три из которых имеют критический уровень опасности, были обнаружены исследователем безопасности yali-1002, разместившим минимальные подробности на своей странице в GitHub. Информация была опубликована 27 августа 2024 года, пока без PoC-эксплойтов.

Итак, среди выявленных уязвимостей:

• CVE-2024-41622 — RCE-уязвимость через параметр tomography_ping_address в интерфейсе /HNAP1/ (оценка CVSS v3: 9.8).
• CVE-2024-44340 — RCE-уязвимость через параметры smartqos_express_devices и smartqos_normal_devices в функции SetSmartQoSSettings (оценка CVSS v3: 8.8 из-за необходимости аутентификации).
• CVE-2024-44341 — RCE-уязвимость через параметр lan(0)_dhcps_staticlist, эксплуатация возможна через специально сформированный POST-запрос (оценка CVSS v3: 9.8).
• CVE-2024-44342 — RCE-уязвимость через параметр wl(0).(0)_ssid (оценка CVSS v3: 9.8).

D-Link подтвердила наличие проблем с безопасностью, но указала, что данные уязвимости попадают под политику окончания срока службы (EOL), что означает отсутствие дальнейших обновлений прошивки.

Несмотря на то что поддержка DIR-846W завершилась более четырёх лет назад, многие пользователи продолжают использовать эти устройства, не сталкиваясь с проблемами до появления аппаратных сбоев или функциональных ограничений.

В официальном заявлении компании отмечается, что продукт рекомендуется снять с эксплуатации, поскольку дальнейшее его использование может представлять риск для подключённых устройств. Причём риск абсолютно реален, так как маршрутизаторы DIR-846W широко используются во многих странах и до сих пор продаются в некоторых регионах, включая Латинскую Америку.

D-Link настоятельно рекомендует немедленно заменить устаревший продукт на более современные и поддерживаемые модели. Если же это невозможно, следует убедиться, что на устройстве установлена последняя версия прошивки, использовать надёжные пароли для веб-интерфейса администратора и включить шифрование Wi-Fi.

Уязвимости роутеров D-Link часто используются ботнетами, такими как Mirai и Moobot, для вовлечения устройств в DDoS-атаки. Учитывая это, важно обеспечить безопасность маршрутизаторов до того, как PoC-эксплойты будут выложены в открытый доступ.