CVE-2024-39962

RCE w routerze D-Link DIR-823X poprzez parametr ntp_zone_val

CVSS 9.8v3.1pub. 2024-07-19upd. 2025-07-09

W routerze D-Link DIR-823X AX3000 Dual-Band Gigabit Wireless Router w wersji firmware v21_D240126 odkryto krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE). Atakujący nieuwierzytelniony może przejąć pełną kontrolę nad urządzeniem poprzez sieć.

▸ Pokaż oryginał (EN)

D-Link DIR-823X AX3000 Dual-Band Gigabit Wireless Router v21_D240126 was discovered to contain a remote code execution (RCE) vulnerability in the ntp_zone_val parameter at /goform/set_ntp. This vulnerability is exploited via a crafted HTTP request.

🤖 Analiza AI

Jak działa

Podatność występuje w parametrze ntp_zone_val obsługiwanym przez endpoint /goform/set_ntp. Atakujący wysyła spreparowane żądanie HTTP zawierające złośliwy payload w tym parametrze, co prowadzi do wykonania dowolnego kodu na urządzeniu. Podatność sklasyfikowana jako CWE-94 (Improper Control of Code Generation) wskazuje na brak odpowiedniej walidacji i neutralizacji danych wejściowych przed ich przetworzeniem.

Skutki

Nieuprawniony atakujący zdalnie, bez jakiegokolwiek uwierzytelnienia, może wykonać dowolny kod na urządzeniu z poziomem uprawnień procesu obsługującego żądanie — co w praktyce oznacza pełne przejęcie kontroli nad routerem, możliwość modyfikacji konfiguracji sieci oraz potencjalne wykorzystanie urządzenia jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aplikacji aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego routera wyłącznie do zaufanych hostów oraz wyłączenie zdalnego zarządzania urządzeniem od strony sieci WAN.