Yaşam sonlarına ulaşan on binlerce açık D-Link yönlendiricisi, kimlik doğrulanmamış bir uzaktan saldırganın herhangi bir kullanıcının şifresini değiştirmesine ve cihazın tam kontrolünü ele geçirmesine izin veren kritik bir güvenlik sorununa karşı savunmasızdır.
Güvenlik açığı, Tayvan’ın Bilgisayar ve Müdahale Merkezi'ne (TWCERTCC) bildiren güvenlik araştırmacısı Chaio-Lin Yu (Steven Meow) tarafından D-Link DSL6740C modeminde keşfedildi.
Cihazın ABD'de mevcut olmadığını ve yıl başında hizmet sonu (EOS) aşamasına ulaştığını belirtmek gerekir.
Bugün bir danışmanlıkta D-Link, sorunu çözmeyeceğini açıkladı ve "EOL/EOS'a ulaşan D-Link cihazlarını emekliye ayırma ve değiştirme" önerdi.
Chaio-Lin Yu, TWCERTCC'ye diğer iki güvenlik açığını, bir OS komut enjeksiyonu ve bir yol geçiş sorunu bildirdi:
Üç kusur sorunu aşağıdaki gibi özetlenmiştir:
Herkese açık olarak maruz kalan cihazlar ve yazılımlar için FOFA arama motorunda hızlı bir arama, çoğu Tayvan'da olmak üzere, internet üzerinden ulaşılabilir 60.000 D-Link DSL6740C modemlerinin olduğunu gösteriyor.
TWCERTCC, aynı D-Link cihazını etkileyen dört daha yüksek şiddetli OS komutu enjeksiyon güvenlik açıkları için tavsiyeler yayınladı. Hatalar CVE-2024-11062, CVE-2024-11063, CVE-2024-11064 ve CVE-2024-11065 olarak izlenir.
Genel Web'de maruz kalan savunmasız cihazların sayısı önemli olsa da, D-Link, kritik hatalar olsa bile, yaşam sonu (EOL) cihazların güncellemeler kapsamında olmadığını açıkladı [1, 2] endişeli.
Kullanıcılar etkilenen cihazı satıcının hala desteklediği bir varyantla değiştiremezse, en azından uzaktan erişimi kısıtlamalı ve güvenli erişim şifreleri ayarlamalıdır.
D-Link, 60.000 eski NAS cihazını etkileyen kritik kusuru düzeltmeyecek
Bilgisayar korsanları PTZ kameralarda kritik sıfır gün güvenlik açığını hedeflemek
EOL D-Link NAS cihazlarında kritik hata artık saldırılarda sömürüldü
HPE, Aruba ağ erişim noktalarında kritik RCE kusurlarını uyarıyor
Masif Psaux Fidye Yazılımı Saldırısı 22.000 CyberPanel Örneği
Kaynak: Bleeping Computer