A D-Link corrigiu falhas críticas em três modelos populares de roteadores sem fio Wi-Fi 6 que permitem que invasores remotos executem códigos arbitrários ou acessem os dispositivos usando credenciais codificadas.
Falhas em roteadores D-Link
Os modelos de roteadores D-Link afetados são populares no mercado de redes de consumo, especialmente entre usuários que buscam roteadores WiFi 6 de ponta (DIR-X) e sistemas de rede mesh (COVR).
O boletim lista cinco vulnerabilidades, três das quais são classificadas como críticas, no seguinte firmware: COVR-X1870 (fora dos EUA) versões de firmware v1.02 e anteriores, DIR-X4860 (mundial) em v1.04B04_Hot-Fix e anteriores, e DIR-X5460 (mundial) executando firmware v1.11B01_Hot-Fix ou anterior.
As cinco falhas e seus avisos associados estão listados abaixo:
- CVE-2024-45694 (9,8 crítica): estouro de buffer baseado em pilha, permitindo que invasores remotos não autenticados executem código arbitrário no dispositivo;
- CVE-2024-45695 (9,8 crítica): Outro estouro de buffer baseado em pilha permitindo que invasores remotos não autenticados executem código arbitrário;
- CVE-2024-45696 (8,8 alta): Os invasores podem habilitar à força o serviço telnet usando credenciais codificadas na rede local;
- CVE-2024-45697 (9.8 crítica): O serviço Telnet é habilitado quando a porta WAN é conectada, permitindo acesso remoto com credenciais codificadas;
- CVE-2024-45698 (8,8 alta): A validação de entrada inadequada no serviço telnet permite que invasores remotos efetuem login e executem comandos do sistema operacional com credenciais codificadas.
Correção das falhas
Para corrigir as falhas, a D-Link recomenda que os clientes atualizem para v1.03B01 para COVR-X1870, v1.04B05 para DIR-X4860 e DIR-X5460A1_V1.11B04 para DIR-X5460. A empresa diz que soube das falhas pelo CERT do país (TWCERT) em 24 de junho, mas não recebeu o prazo padrão de 90 dias para corrigi-las antes que fossem divulgadas.
De acordo com a D-Link, quando a empresa tomou conhecimento dos problemas de segurança relatados, imediatamente iniciou a investigação e desenvolvimento de patches de segurança.
O terceiro divulgou publicamente o problema antes que os patches estivessem disponíveis em nosso cronograma padrão de lançamento de patches de segurança de 90 dias. Não recomendamos que pesquisadores de segurança ajam dessa maneira, pois eles expõem os usuários finais a riscos adicionais sem que os patches estejam disponíveis pelo fabricante.
O BleepingComputer relata que não conseguiu encontrar nenhuma divulgação pública anterior dessas vulnerabilidades e entrou em contato com a D-Link para saber mais. A D-Link não relatou nenhuma exploração indiscriminada das falhas, mas como a D-Link é comumente alvo de botnets de malware, instalar as atualizações de segurança continua sendo crucial.
Via: Bleeping Computer