CVE-2019-17621
CVE-2019-17621
Em resumo
Um roteador D-Link possui uma falha crítica no seu serviço UPnP que permite a qualquer um na rede executar comandos com privilégios totais de sistema sem precisar de senha. Um atacante pode explorar isso enviando uma requisição especial para ter controle completo do roteador.
Detalhe técnico
Vulnerabilidade de injeção de comando (CWE-78) no endpoint /gena.cgi do UPnP permite execução remota de código não autenticada como root via requisições HTTP SUBSCRIBE malformadas. O ataque requer acesso à rede mas nenhuma autenticação; exploração bem-sucedida garante controle total do sistema no roteador D-Link DIR-859 afetado (versões 1.05, 1.06B01 Beta01).
Resumo gerado e traduzido por IA a partir da descrição oficial.
The UPnP endpoint URL /gena.cgi in the D-Link DIR-859 Wi-Fi router 1.05 and 1.06B01 Beta01 allows an Unauthenticated remote attacker to execute system commands as root, by sending a specially crafted HTTP SUBSCRIBE request to the UPnP service when connecting to the local network.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/aPoCs públicas encontradas — 2
githubgithub.com/Squirre17/CVE-2019-17621★ 3cve_referencepacketstormsecurity.com/files/156054/D-Link-DIR-859-Unauthenticated-Remote-Command-Execution.htmlnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
http://packetstormsecurity.com/files/156054/D-Link-DIR-859-Unauthenticated-Remote-Command-Execution.htmlhttps://medium.com/%40s1kr10s/d-link-dir-859-rce-unautenticated-cve-2019-17621-en-d94b47a15104https://medium.com/%40s1kr10s/d-link-dir-859-rce-unautenticated-cve-2019-17621-es-fad716629ff9https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10146https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10147https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-17621https://www.dlink.com/en/security-bulletinhttps://www.ftc.gov/system/files/documents/cases/dlink_proposed_order_and_judgment_7-2-19.pdf