多款 D-Link 路由器受多个 RCE 漏洞影响

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

智利 Telefónica 公司的两名研究员 Miguel Méndez Zúñiga 和 Pablo Pollanco 最近在 Medium 发布博客文章披露了影响很多款 D-Link 路由器的多个RCE 和信息泄漏漏洞 PoC和技术详情，并发布视频说明这些缺陷如何可遭利用。

D-Link公司指出，在去年10月中旬首次获悉这些漏洞，但最初发布的安全公告仅将DIR-859 路由器列为受影响路由器，而研究员正是在这款路由器上进行了测试。

然而，去年晚些时候，D-Link 公司更新安全公告称这些漏洞实际上影响十多款D-Link DIR 型号的路由器，其中包括不再受支持的路由器。

D-Link公司已发布固件更新解决其中一些受影响设备中的漏洞问题，之后不久应当会发布补丁修复余下设备中的问题，包括已达到生命周期的DIR-818Lx。其它已达生命周期的受影响型号应当不再接受补丁。

该远程命令执行漏洞 CVE-2019-17621 和 UPnP 请求的处理方式有关，可导致未认证攻击者控制易受攻击的设备。然而，利用这些漏洞要求能够访问托管该路由器的LAN，而D-Link表示这一点“大大降低了攻击风险”。这个信息暴露漏洞可导致攻击者获取设备的可能包含敏感信息的VPN 配置文件。

推荐阅读

原文链接

https://www.securityweek.com/remote-command-execution-vulnerability-affects-many-d-link-routers

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 点个“在看”，bounty 多多~