CVE-2024-3273highbajo ataqueCWE-77

CVE-2024-3273: fallo de gravedad alta en D-Link DNS-320L

D-Link DNS-320L/DNS-325/DNS-327L/DNS-340L HTTP GET Request nas_sharing.cgi command injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear DNS-340L+ Monitorear DNS-325

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.3epss 100%
de la publicación al armael mismo día
Publicada en NVD4 abr
1ª PoC26 mar
CISA KEV+7d
Acción exigida por CISAplazo federal: 2024-05-02

This vulnerability affects legacy D-Link products. All associated hardware revisions have reached their end-of-life (EOL) or end-of-service (EOS) life cycle and should be retired and replaced per vendor instructions.

En resumen

Los dispositivos D-Link NAS contienen una vulnerabilidad de inyección de comandos en su interfaz web que permite a los atacantes ejecutar comandos arbitrarios de forma remota mediante solicitudes HTTP especialmente preparadas. Esto afecta modelos no soportados y podría otorgar al atacante control total del dispositivo.

Detalle técnico

Existe una vulnerabilidad de inyección de comandos en el endpoint /cgi-bin/nas_sharing.cgi donde el parámetro 'system' en solicitudes HTTP GET no se sanitiza adecuadamente, permitiendo la ejecución remota de código sin autenticación. La vulnerabilidad afecta a los modelos D-Link DNS-320L, DNS-325, DNS-327L y DNS-340L hasta la versión de firmware 20240403; la explotación requiere acceso de red a la interfaz web del dispositivo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

** UNSUPPORTED WHEN ASSIGNED ** A vulnerability, which was classified as critical, was found in D-Link DNS-320L, DNS-325, DNS-327L and DNS-340L up to 20240403. Affected is an unknown function of the file /cgi-bin/nas_sharing.cgi of the component HTTP GET Request Handler. The manipulation of the argument system leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The identifier of this vulnerability is VDB-259284. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. NOTE: Vendor was contacted early and confirmed immediately that the product is end-of-life. It should be retired and replaced.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Productos afectados
D-Link · DNS-320LD-Link · DNS-325D-Link · DNS-327LD-Link · DNS-340L
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — D-Link DNS-320L

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-3272CRITICALD-Link DNS-320L/DNS-325/DNS-327L/DNS-340L HTTP GET Request nas_sharing.cgi hard-coded credentialsEPSS 98.1%KEVCVE-2024-10914CRITICALD-Link DNS-320/DNS-320LW/DNS-325/DNS-340L account_mgr.cgi cgi_user_add os command injectionEPSS 97.5%CVE-2024-10915CRITICALD-Link DNS-320/DNS-320LW/DNS-325/DNS-340L account_mgr.cgi cgi_user_add os command injectionEPSS 83.2%CVE-2024-3274MEDIUMD-Link DNS-320L/DNS-320LW/DNS-327L HTTP GET Request info.cgi information disclosureEPSS 33.5%CVE-2024-7715MEDIUMD-Link DNS-1550-04 photocenter_mgr.cgi sprintf command injectionEPSS 26.2%CVE-2024-8132MEDIUMD-Link DNS-1550-04 HTTP POST Request webdav_mgr.cgi webdav_mgr command injectionEPSS 24.4%