CVE-2023-32165

D-Link D-View: RCE przez path traversal w TftpReceiveFileHandler

CVSS 9.8v3.0pub. 2024-05-03upd. 2025-08-07

Podatność w aplikacji D-Link D-View umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Ze względu na krytyczny wynik CVSS 9.8 i brak wymogu autoryzacji stanowi poważne zagrożenie dla środowisk sieciowych.

▸ Pokaż oryginał (EN)

D-Link D-View TftpReceiveFileHandler Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of D-Link D-View. Authentication is not required to exploit this vulnerability. The specific flaw exists within the TftpReceiveFileHandler class. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-19497.

🤖 Analiza AI

Jak działa

Luka znajduje się w klasie TftpReceiveFileHandler i wynika z braku właściwej walidacji ścieżki dostarczanej przez użytkownika przed użyciem jej w operacjach na plikach (path traversal, CWE-22). Atakujący może przesłać spreparowaną ścieżkę, która wykracza poza dozwolony katalog, co pozwala na umieszczenie złośliwego pliku w dowolnym miejscu systemu. W konsekwencji możliwe jest wykonanie kodu w kontekście konta SYSTEM.

Skutki

Atakujący może zdalnie wykonać dowolny kod z uprawnieniami SYSTEM, uzyskując pełną kontrolę nad zaatakowanym hostem, włącznie z możliwością instalacji złośliwego oprogramowania, kradzieży danych i dalszego ruchu w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (ogłoszenie bezpieczeństwa D-Link SAP10332 dostępne pod adresem supportannouncement.us.dlink.com). Zaleca się również ograniczenie dostępu sieciowego do usługi TFTP wyłącznie do zaufanych hostów oraz monitorowanie ruchu sieciowego pod kątem nieoczekiwanych transferów plików.