CVE-2019-16920criticalbajo ataqueCWE-78

CVE-2019-16920

Publicada el · Actualizada el

Seguir esta CVE

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al arma19 días
Publicada en NVD27 sept
1ª PoC+19d
CISA KEV+910d
Acción exigida por CISAplazo federal: 2022-04-15

The impacted product is end-of-life and should be disconnected if still in use.

En resumen

Los enrutadores D-Link tienen una falla crítica donde los atacantes pueden enviar comandos especialmente diseñados a una herramienta de diagnóstico de red sin necesidad de contraseña, permitiendo asumir control total del dispositivo.

Detalle técnico

Vulnerabilidad de inyección de comandos no autenticada en el endpoint CGI PingTest permite que atacantes remotos ejecuten comandos arbitrarios del sistema operativo mediante entrada maliciosa. La vulnerabilidad requiere acceso a la red del dispositivo afectado, pero sin credenciales de autenticación. La explotación resulta en control completo del dispositivo con privilegios root.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Unauthenticated remote code execution occurs in D-Link products such as DIR-655C, DIR-866L, DIR-652, and DHP-1565. The issue occurs when the attacker sends an arbitrary input to a "PingTest" device common gateway interface that could lead to common injection. An attacker who successfully triggers the command injection could achieve full system compromise. Later, it was independently found that these are also affected: DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, and DIR-825.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.