BDU:2020-00558 (CVE-2019-17621) — уязвимость микропрограммного обеспечения маршрутизаторов D-Link DIR-818Lx DIR-822
По данным БДУ ФСТЭК России, по состоянию на 06.02.2025.
Критический — 9.8/10 Публичный эксплойт Есть инциденты ИБ Устранена
Уязвимость микропрограммного обеспечения маршрутизаторов D-Link DIR-818Lx, DIR-822, DIR-822, DIR-823, DIR-859, DIR-865L, DIR-868L, DIR-868L, DIR-869, DIR-880L, DIR-890L/R, DIR-885L/R, DIR-895L/R существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды от имени пользователя root в целевой системе в результате некорректной обработкой SUBSCRIBE-запроса в файле /gena.cgi
Кого касается и что делать
- Уязвимое ПО: DIR-818Lx (D-Link) — версии до 2.05b03_Beta08 включительно; DIR-822 (D-Link) — версии до 2.03b01 включительно, до 3.12b04 включительно; DIR-823 (D-Link) — версии до 1.00b06_Beta включительно; и ещё 8 позиций
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2020-00558 · CVE-2019-17621 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость микропрограммного обеспечения маршрутизаторов D-Link DIR-818Lx, DIR-822, DIR-822, DIR-823, DIR-859, DIR-865L, DIR-868L, DIR-868L, DIR-869, DIR-880L, DIR-890L/R, DIR-885L/R, DIR-895L/R, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнить произвольные команды от имени пользователя root в целевой системе |
| Даты | Опубликована: 11.02.2020 · Обновлена ФСТЭК: 06.02.2025 · Выявлена: 12.12.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: злоупотребление функционалом |
Уязвимое ПО
- DIR-818Lx (D-Link) — до 2.05b03_Beta08 включительно · ПО сетевого программно-аппаратного средства
- DIR-822 (D-Link) — версии до 2.03b01 включительно, до 3.12b04 включительно · ПО сетевого программно-аппаратного средства
- DIR-823 (D-Link) — до 1.00b06_Beta включительно · ПО сетевого программно-аппаратного средства
- DIR-859 (D-Link) — до 1.06b01Beta01 включительно · ПО сетевого программно-аппаратного средства
- DIR-865L (D-Link) — до 1.07b01 включительно · ПО сетевого программно-аппаратного средства
- DIR-868L (D-Link) — версии до 1.12b04 включительно, до 2.05b02 включительно · ПО сетевого программно-аппаратного средства
- DIR-880L (D-Link) — до 1.08b04 включительно · ПО сетевого программно-аппаратного средства
- DIR-890L R (D-Link) — до 1.11b01_Beta01 включительно · ПО сетевого программно-аппаратного средства
- DIR-885L R (D-Link) — до 1.12b05 включительно · ПО сетевого программно-аппаратного средства
- DIR-895L R (D-Link) — до 1.12b10 включительно · ПО сетевого программно-аппаратного средства
- DIR-869 (D-Link) — до 1.03b02Beta02 включительно · ПО сетевого программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление. Обновление программного обеспечения до более новой версии
