CVE-2013-5223

Dezesseis parâmetros distintos da interface web administrativa do gateway D-Link DSL-2760U (Rev. E1) refletem ou armazenam entrada do usuário sem sanitização, permitindo injeção de HTML/JavaScript (CWE-79). A falha exige que a vítima já esteja autenticada no painel do roteador — não é um XSS pré-autenticação explorável de qualquer lugar da internet — mas como o firmware nunca teve proteção CSRF real nesses mesmos endpoints, o requisito de autenticação é contornável induzindo o administrador logado a clicar em um link forjado. Está no catálogo KEV da CISA por exploração confirmada, apesar do CVSS moderado (5.4).

Os endpoints afetados são scripts CGI/CMD do firmware que processam parâmetros de configuração — sntpcfg.cgi (NTP), ddnsmngr.cmd (DNS dinâmico), todmngr.tod (controle parental), urlfilter.cmd, scprttrg.cmd e scoutflt.cmd/scinflt.cmd (filtros de porta e IP), portmapcfg.cmd (agrupamento de interfaces), snmpconfig.cgi, prmngr.cmd (roteamento por política), ippcfg.cmd (servidor de impressão), samba.cgi e wlcfg.wl (SSID Wi-Fi). Em todos os casos, o valor de um parâmetro de formulário (username, ntpServer1, appName, fltName, groupName, snmpRoCommunity, PolicyName, smbNetBiosName, smbDirName, wlSsid, etc.) é gravado na configuração e depois re-renderizado em páginas HTML subsequentes da UI sem encoding de entidades HTML nem escaping de contexto JavaScript.

O vetor prático é GET ou POST direto ao script CGI/CMD do roteador com o parâmetro vulnerável contendo uma tag ou um breakout de contexto JS/atributo (ex.: fechando uma string com " ou ' seguida de alert()). Como esses mesmos endpoints aceitam a submissão de configuração sem token anti-CSRF, o atacante não precisa roubar credenciais: basta hospedar uma página que force o navegador da vítima (já com sessão administrativa ativa no roteador) a disparar a requisição — clique em link, tag / maliciosa, ou man-in-the-middle na rede local. O próprio advisory do fornecedor reconhece esse encadeamento CSRF+XSS como o cenário real de exploração, e classifica o escopo de impacto como 'estreito' justamente por depender de sessão autenticada ativa.

O resultado final é execução de script arbitrário no contexto da UI de administração — persistente nos campos armazenados (SSID, nomes de filtro, comunidade SNMP etc.) ou refletido imediatamente na resposta. Isso permite alterar configurações do dispositivo, capturar ou manipular a sessão administrativa, habilitar gerenciamento remoto, ou usar o roteador como ponto de pivô contra outros administradores que acessem o painel depois que o payload foi persistido. Não há evidência pública detalhada de campanha em massa; a inclusão no KEV da CISA confirma exploração observada, mas os detalhes de quem/como não estão documentados nas fontes disponíveis.

O fornecedor corrigiu a vulnerabilidade no firmware v.1.12 para hardware Rev. E1 (o advisory SAP10002 lista APENAS essa combinação hardware/firmware; a página também menciona uma 'Revision A1' com o mesmo v.1.12, o que sugere inconsistência na numeração de revisão do próprio fornecedor — confirme a revisão de hardware exata na etiqueta do dispositivo antes de aplicar). Atualize via Maintenance → System → Upgrade Firmware no painel do próprio dispositivo.

Se a atualização não for viável: mantenha o Remote Management desabilitado (padrão de fábrica é desligado — não reative), restrinja o acesso à interface administrativa à rede de gestão/LAN confiável, nunca navegue com a sessão de admin aberta em outras abas enquanto acessa links de terceiros, e encerre a sessão administrativa após o uso. Não existe mitigação via WAF nesse cenário — o dispositivo é o próprio alvo e não há proxy reverso padrão na frente dele; qualquer controle compensatório passa por segmentação de rede e higiene de sessão, não por filtragem de payload.

Procure em logs de acesso HTTP do dispositivo (quando existentes) ou em capturas de tráfego LAN por requisições GET/POST aos endpoints citados (sntpcfg.cgi, ddnsmngr.cmd, todmngr.tod, urlfilter.cmd, scprttrg.cmd, scoutflt.cmd, portmapcfg.cmd, snmpconfig.cgi, scinflt.cmd, prmngr.cmd, ippcfg.cmd, samba.cgi, wlcfg.wl) contendo tags , sequências alert(, ou caracteres de escape de aspas (" ou ') nos parâmetros listados na descrição oficial. Dispositivos embarcados como este raramente mantêm logging HTTP detalhado por padrão, então a ausência de evidência não indica ausência de exploração — não há sinal confiável de detecção pós-fato sem log habilitado manualmente antes do ataque.