CVE-2024-11068

Podatność wynika z braku odpowiedniej weryfikacji uprawnień w API modemu — nieuwierzytelniony atakujący sieciowy może wywołać uprzywilejowane funkcje API bez konieczności posiadania jakichkolwiek poświadczeń. Dzięki temu możliwa jest zmiana hasła wybranego konta użytkownika na urządzeniu. Po zmianie hasła atakujący uzyskuje pełen dostęp do usług zarządzania modemem: interfejsu Web, SSH oraz Telnet.

Atakujący może przejąć kontrolę nad dowolnym kontem na urządzeniu, uzyskując dostęp do interfejsu zarządzania przez Web, SSH i Telnet, co w praktyce oznacza pełne przejęcie kontroli nad modemem i potencjalnie całą siecią za nim stojącą.

Producent D-Link nie planuje wydania poprawki ze względu na status EOL (End-of-Life) urządzenia. Zaleca się natychmiastowe wycofanie urządzenia z użytku lub — jeśli nie jest to możliwe — odizolowanie interfejsu zarządzania od sieci publicznej (wyłączenie zdalnego dostępu, zastosowanie firewall blokującego dostęp do portów zarządzania z zewnątrz). Należy rozważyć wymianę urządzenia na aktywnie wspierany model.

D-Link DSL6740C Firmware (modem D-Link DSL6740C) — zgodnie z informacjami producenta urządzenie jest oznaczone jako End-of-Life (EOL), a podatność dotyczy jego oprogramowania sprzętowego w wersjach wskazanych w referencjach producenta

Według referencji (BleepingComputer) D-Link oficjalnie odmówił wydania patcha, ponieważ urządzenie DSL6740C osiągnęło status End-of-Life. Szacuje się, że podatne urządzenia są publicznie dostępne w Internecie, jednak źródłem tej informacji jest artykuł w referencjach, nie oficjalny opis CVE.