BDU:2022-00772 (CVE-2021-46454) — уязвимость реализации функции SetWLanApcliSettings() микропрограммного обеспечения беспроводных маршрутизаторов D-Link DIR-823-Pro

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Уязвимость реализации функции SetWLanApcliSettings() микропрограммного обеспечения беспроводных маршрутизаторов D-Link DIR-823-Pro связана с недостаточной очисткой входных данных при обработке параметра ApCliKeyStr. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Кого касается и что делать

• Уязвимое ПО: DIR-823-Pro (D-Link) — версии 1.0.2
• Что делать: применить компенсирующие меры (см. раздел мер ниже)
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-00772 · CVE-2021-46454
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость реализации функции SetWLanApcliSettings() микропрограммного обеспечения беспроводных маршрутизаторов D-Link DIR-823-Pro, позволяющая нарушителю выполнить произвольные команды
Даты	Опубликована: 16.02.2022 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 24.01.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет; способ: организационные меры)
Тип ошибки	CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

• DIR-823-Pro (D-Link) — 1.0.2 · ПО сетевого программно-аппаратного средства

Возможные меры по устранению уязвимости

Использование аналогичного программного продукта

Источники

• vuldb.com/ru/
• www.dlink.com/en/security-bulletin/
• nvd.nist.gov/vuln/detail/CVE-2021-46454
• github.com/pjqwudi/my_vuln/blob/main/D-link/vuln_24/24.md