CVE-2015-1187

Falha de injeção de comandos no utilitário ping (ping.ccp) de múltiplos roteadores D-Link (linha DIR-6xx/8xx) e dispositivos TRENDnet, combinada com verificação de autenticação incorreta que permite acionar o utilitário sem sessão válida. Na configuração padrão a exploração exige acesso à rede local, não à internet — o CVSS 9.8 (AV:N/PR:N) reflete o cenário de gestão remota habilitada, que o próprio fornecedor diz vir desativada de fábrica. Está no catálogo KEV da CISA desde 2022, mas a recomendação da própria CISA já é aposentadoria do equipamento (end-of-life), não patch.

O parâmetro ping_addr, enviado ao endpoint ping.ccp da interface administrativa, é concatenado sem sanitização em uma chamada de sistema que invoca o binário ping do firmware (CWE-78, injeção de comando OS). Qualquer caractere de controle de shell — no PoC público, o metacaractere & — encerra o argumento esperado e permite emendar um comando arbitrário, executado com os privilégios do processo httpd/ccp, tipicamente root no firmware embarcado.

O segundo componente, catalogado pela CISA como CWE-287 (autenticação incorreta), é o que eleva a severidade: o endpoint aceita os parâmetros de operação (ccp_act=ping_v4 e ping_addr) dentro do cabeçalho Cookie da requisição, e a lógica de verificação de sessão não impede que um cliente não autenticado monte essa cookie manualmente e acione a função. Ou seja, não é preciso roubar uma sessão válida — basta forjar o cabeçalho.

A falha foi reportada inicialmente para o DIR-820L e, na investigação subsequente do fornecedor, estendida a DIR-626L, DIR-636L, DIR-808L, DIR-810L, DIR-826L, DIR-830L e DIR-836L. Dispositivos TRENDnet aparecem na descrição oficial e no título do KEV porque compartilham o mesmo componente NCC (uma SDK/serviço de chipset reaproveitado entre fornecedores), mas as fontes disponíveis não trazem uma lista de modelos TRENDnet nem faixas de firmware equivalentes.

O vetor documentado é uma requisição POST para /ping.ccp na interface web de administração, com o cabeçalho Cookie contendo ccp_act=ping_v4&ping_addr=. O valor de ping_addr combina um endereço IP válido com um separador de comando e um segundo comando (no PoC divulgado, uma segunda chamada ao próprio ping para exfiltrar/confirmar execução). Não é necessário login prévio porque a checagem de sessão não valida a origem desses parâmetros vindos via cookie forjado — isso é o que torna a exploração trivial uma vez que o atacante alcança a interface HTTP do dispositivo.

Pré-condição real, e é o ponto que a nota CVSS 9.8/AV:N esconde: por padrão a gestão remota (WAN-side) está desabilitada nesses roteadores. Isso significa que, na maioria das instalações domésticas, o atacante precisa estar na rede local (Wi-Fi ou cabo) ou já ter comprometido outro host na LAN — cenário de CSRF/drive-by também é citado pelo fornecedor, em que uma página maliciosa faz o navegador da vítima, dentro da LAN, disparar a requisição contra o IP interno do roteador. Só quando o usuário ativa administração remota (fora do padrão) a falha se torna exploravel diretamente pela internet, alinhando-se ao vetor de rede pleno do CVSS.

Há módulo Metasploit e PoC pública, e a CVE está no catálogo KEV da CISA (adicionada em 2022-03-25), confirmando exploração real registrada, ainda que a ação recomendada pela CISA para este caso não seja aplicar patch, e sim desconectar o equipamento por estar em fim de vida.

O fornecedor publicou firmwares corrigidos por modelo/revisão de hardware (ver versions_fixed). A recomendação primária é atualizar para essas versões. Como controle compensatório imediato, e que reduz a superfície mesmo sem atualização, desabilitar a administração remota (WAN-side) do roteador — que já vem desabilitada de fábrica, então o principal é garantir que ninguém a tenha ativado — restringe a exploração a quem já está na LAN.

Para quem não pode atualizar, D-Link recomenda ainda: usar credenciais fortes de login na interface administrativa, habilitar criptografia Wi-Fi (para que um atacante precise antes comprometer a rede sem fio), manter os hosts da LAN livres de malware/bots (que poderiam ser o vetor CSRF/drive-by) e monitorar logs do roteador por acesso não autorizado. Nenhuma dessas medidas corrige a falha de injeção em si — apenas reduz quem consegue alcançar o endpoint vulnerável.

A própria CISA, ao incluir a CVE no KEV, classifica boa parte desses dispositivos como fim de vida (end-of-life) e recomenda desconexão se ainda estiverem em uso, em vez de depender de patch do fabricante. Não existe mitigação via WAF eficaz aqui porque o vetor é a interface administrativa do próprio equipamento embarcado, não uma aplicação web tradicional atrás de proxy reverso.

Em log de acesso HTTP/HTTPS do roteador (quando exportado), procurar requisições POST para /ping.ccp cujo cabeçalho Cookie contenha ccp_act=ping_v4 combinado com ping_addr contendo caracteres codificados de metacaracteres de shell (%20%26 para ' & ', %2f para '/', referência a /bin/ping ou outros binários) — presença desses padrões sem uma sessão autenticada legítima correspondente é forte indício de tentativa de exploração. Como a maioria desses dispositivos SOHO não gera logs centralizados nem os retém, na prática não há sinal confiável disponível para boa parte do parque instalado; a ausência de evidência não indica ausência de exploração.