CVE-2011-4723

A falha afeta o roteador doméstico D-Link DIR-300, que armazena senhas em texto claro e permite que um atacante com acesso à rede local extraia essas credenciais sem precisar quebrar nenhum hash. O CVSS moderado (5.7) e o vetor de rede adjacente escondem o motivo real de estar no radar: o dispositivo está em fim de vida, não existe correção de firmware, e a CISA confirma exploração ativa no catálogo KEV — a resposta correta não é 'atualizar', é 'desconectar'.

A CVE está classificada sob CWE-310 (Cleartext Storage of Sensitive Information). A descrição oficial do NVD é deliberadamente vaga — 'unspecified vectors' — e não localizamos um advisory técnico da D-Link nem análise de pesquisador que detalhe exatamente onde as senhas ficam expostas em claro (arquivo de configuração interno, backup exportável pela interface web, resposta SNMP, ou outro mecanismo). Essa ausência de detalhe público é a própria característica da vulnerabilidade: é antiga, subdocumentada, e o fornecedor nunca publicou um advisory dedicado a ela.

O vetor CVSS informado (AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) diz mais sobre o mecanismo do que a descrição textual. AV:A significa que o atacante precisa estar na rede adjacente — mesma LAN ou Wi-Fi do roteador, não um atacante arbitrário na internet. PR:L indica que ele já precisa de algum nível de acesso, mesmo que baixo, antes de conseguir ler a senha em claro. O impacto é só de confidencialidade (C:H, I:N, A:N): o atacante lê credenciais, não altera configuração nem derruba o dispositivo através desta falha especificamente.

Sem o advisory técnico, não é possível afirmar com segurança qual componente exato (painel web, protocolo de gerência, exportação de config) expõe a senha — e por isso não vamos especular além do que as fontes confirmam.

A pré-condição real é acesso à rede local ou Wi-Fi do roteador com algum nível de privilégio de baixo grau — não é um ataque remoto genérico pela internet sem contexto nenhum, apesar do termo 'context-dependent attackers' da descrição oficial sugerir justamente isso: o atacante depende do contexto de rede em que já está posicionado. Isso é consistente com o AV:A do vetor CVSS.

Não há PoC pública detalhada nas fontes consultadas que descreva passo a passo o mecanismo de extração. O que se sabe com certeza é que a CISA incluiu esta CVE no catálogo KEV em 08/09/2022, o que atesta exploração confirmada em ambientes reais — mas as fontes disponíveis não detalham a campanha, o autor, ou o método usado. Não se deve presumir vínculo com botnets IoT específicas sem confirmação documental.

O resultado final da exploração, quando bem-sucedida, é a obtenção de senha(s) armazenadas pelo dispositivo — potencialmente a senha administrativa do próprio roteador ou credenciais de Wi-Fi/PPPoE guardadas na configuração, o que abre caminho para comprometimento total do dispositivo e da rede atrás dele, mesmo que esta CVE isoladamente só cubra a leitura da credencial.

A própria CISA declara no KEV que o D-Link DIR-300 está em fim de vida (end-of-life) e recomenda desconectá-lo da rede se ainda estiver em uso — não há firmware corrigido listado em nenhuma fonte consultada. Essa é a mitigação primária e a única com garantia real de eliminar o risco: substituir o equipamento.

Se a substituição imediata não for possível, os controles compensatórios são de rede, não de configuração do próprio dispositivo: isolar o roteador em segmento sem acesso de dispositivos não confiáveis, desativar qualquer gerenciamento remoto ou exposto à WAN, restringir acesso à interface administrativa a uma lista de hosts confiáveis, e não depender de senha administrativa forte como mitigação suficiente — já que o problema é armazenamento em claro, não força de senha.

Não existe mitigação via WAF ou IPS de rede que resolva a causa raiz, porque a falha está no armazenamento interno do dispositivo, não em uma requisição HTTP filtrável de forma confiável sem o detalhe técnico do vetor exato — que o fornecedor nunca publicou.

Não há assinatura de detecção ou indicador de comprometimento (IOC) documentado nas fontes consultadas para esta CVE específica — o próprio vetor de exploração nunca foi detalhado publicamente pelo fornecedor. Como aproximação razoável, monitore tentativas de acesso à interface administrativa do dispositivo (HTTP/HTTPS de gerência) e a exportações de arquivo de configuração/backup originadas de hosts não usuais dentro da rede local; a ausência de sinal confiável e documentado é, em si, informação relevante para quem tenta caçar exploração retroativa.