Três falhas que afetam roteadores VPN D-Link foram identificadas por pesquisadores de segurança da Digital Denfense e a D-Link está trabalhando na liberação de atualizações de firmware para lidar com duas das vulnerabilidades descobertas pelos pesquisadores.
Falhas identificadas
As falhas descobertas pelos pesquisadores de segurança afetam vários roteadores VPN D-Link, e incluem falhas autenticadas e não autenticadas de injeção de comando, e um problema de injeção de crontab autenticado.
As falhas atingem uma série de roteadores VPN executando o firmware versão 3.17 e anteriores e podem permitir que um invasor não autenticado acessem a interface web “Unified Services Router” sobre LAN ou WAN para injetar comandos arbitrários. O atacante precisaria enviar pedidos especialmente elaborados para desencadear a falha.
Consequências das falhas nos roteadores
De acordo com os pesquisadores, a exploração de apenas uma das vulnerabilidades poderia permitir que um invasor não autenticado ganhasse o controle completo do roteador. Assim, eles poderiam interceptar e modificar o tráfego, causar uma condição de negação de serviço (DoS) ou configurar para novos ataques, visando ativos adicionais.
Da mesma forma, uma das outras vulnerabilidades poderia permitir que um invasor injetasse comandos que seriam executados com privilégios raiz. Ao contrário da primeira falha, no entanto, este requer autenticação.
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
A terceira falha pode permitir que um usuário autenticado injete entradas CRON arbitrárias que serão executadas como raiz.
Providências
De acordo com a D-Link, uma correção não será lançada para a terceira vulnerabilidade, para esta geração de produtos. A empresa explica que um invasor que procura explorar essa falha precisaria primeiro encontrar uma maneira de acessar o dispositivo e carregar um arquivo de configuração. Dessa forma, considera que, uma vez corrigidos os dois primeiros problemas, a terceira vulnerabilidade é de baixo impacto.
As atualizações devem sair ainda este mês. Antes que elas cheguem, no entanto, os usuários de roteadores VPN D-Link podem baixar os hotfixes disponíveis, que são considerados lançamentos de firmware beta.
Com informações de: Security Week.
