CVE-2018-25115

Podatność znajduje się w endpointcie service.cgi, gdzie parametr EVENT=CHECKFW przekazywany w żądaniu HTTP POST jest bezpośrednio przekazywany do powłoki systemowej bez jakiejkolwiek sanityzacji danych wejściowych (CWE-78: OS Command Injection). Atakujący może spreparować żądanie HTTP POST zawierające złośliwe polecenia wstrzyknięte w wartość tego parametru. Wstrzyknięte polecenia są wykonywane natychmiast z uprawnieniami root, co prowadzi do pełnego przejęcia kontroli nad urządzeniem.

Atakujący uzyskuje pełną kontrolę nad urządzeniem z uprawnieniami root — może wykonywać dowolne polecenia systemowe, modyfikować konfigurację, przechwytywać ruch sieciowy oraz wykorzystywać urządzenie jako punkt wejścia do sieci lokalnej. Skutkiem jest całkowite przejęcie urządzenia (full device compromise).

Producent D-Link nie wyda poprawek dla tych urządzeń, ponieważ są one objęte polityką End-of-Life. Zaleca się natychmiastową wymianę podatnych urządzeń na aktualnie wspierane modele. Do czasu wymiany należy: odizolować urządzenia od internetu (zablokować dostęp do interfejsu zarządzania od strony WAN), zastosować dodatkowe reguły firewall ograniczające dostęp do endpointu service.cgi oraz monitorować ruch sieciowy pod kątem prób eksploatacji.

Routery D-Link DIR-110, DIR-412, DIR-600, DIR-610, DIR-615, DIR-645 oraz DIR-815 z firmware w wersji 1.03. Dokładny zakres dotkniętych wersji może się różnić w zależności od modelu — szczegóły w referencjach. Wszystkie wymienione modele są objęte polityką End-of-Life producenta.

Według opisu, dowody eksploatacji zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation w dniu 2025-08-21 UTC. Publicznie dostępny kod PoC (proof-of-concept) jest dostępny w serwisie GitHub oraz Exploit-DB (exploit nr 43496). Pomimo odnotowanych dowodów eksploatacji, podatność nie figuruje w katalogu CISA KEV na moment publikacji.