CVE-2025-29041

Command injection w D-Link DIR-823X umożliwiający zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2025-04-17upd. 2025-05-01

Podatność typu command injection w firmware D-Link DIR-823X (wersja 240802) pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu. Wysoki wynik CVSS 9.8 oraz brak wymagań co do uprawnień i interakcji użytkownika czynią tę lukę szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

An issue in dlink DIR 823x 240802 allows a remote attacker to execute arbitrary code via the target_addr key value and the function 0x41710c

🤖 Analiza AI

Jak działa

Atakujący może dostarczyć spreparowaną wartość klucza 'target_addr' (powiązanego z funkcją diagnostyczną nslookup), która jest następnie przetwarzana przez funkcję pod adresem 0x41710c bez odpowiedniej sanityzacji. Brak walidacji danych wejściowych (CWE-78) prowadzi do wstrzyknięcia i wykonania dowolnych poleceń systemowych w kontekście procesu obsługującego żądanie. Atak możliwy jest zdalnie przez sieć bez uwierzytelnienia.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, w tym odczytać lub zmodyfikować jego konfigurację, wykonać dowolne polecenia systemowe oraz potencjalnie wykorzystać router jako punkt wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.dlink.com/en/security-bulletin/). Do czasu wydania aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie zdalnego zarządzania od strony sieci WAN.

Kogo dotyczy

D-Link DIR-823X z firmware w wersji 240802

Uwagi

Publiczny proof-of-concept exploit jest dostępny w repozytorium GitHub (github.com/xyqer1/Dlink-dir-823x-diag_nslookup-target_addr-CommandInjection), co znacząco obniża próg wejścia dla potencjalnych atakujących.