D-Link ha annunciato che quattro vulnerabilità RCE (Remote Code Execution) che interessano tutte le versioni dei router DIR-846W non verranno risolte perché il supporto per questi dispositivi è già scaduto.

Le vulnerabilità RCE, tre delle quali hanno uno stato critico e non richiedono autenticazione, sono state scoperte da un ricercatore di sicurezza informatica con lo pseudonimo yali-1002, che il 27 agosto 2024 ha pubblicato informazioni minime su questi problemi nel suo repository GitHub.

Lo specialista si è astenuto dal pubblicare exploit proof-of-concept.

Una breve descrizione dei bug è la seguente:

• CVE-2024-41622 – vulnerabilità relativa all’esecuzione di comandi in remoto tramite il parametro tomography_ping_address nell’interfaccia /HNAP1/ (punteggio CVSS 9,8);
• CVE-2024-44340 – Vulnerabilità RCE nei parametri smartqos_express_devices e smartqos_normal_devices in SetSmartQoSSettings, che richiede l’autenticazione (punteggio CVSS 8.8);
• CVE-2024-44341 – RCE tramite il parametro lan(0)_dhcps_staticlist, che può essere sfruttato tramite una richiesta POST modificata (CVSS Score 9.8);
• CVE-2024-44342 — RCE tramite il parametro wl(0).(0)_ssid (9,8 sulla scala CVSS).

Sebbene i rappresentanti di D-Link abbiano riconosciuto i problemi e la loro gravità, la società ha affermato che il supporto per i dispositivi è scaduto nel 2020, il che significa che potrebbero non essere previsti aggiornamenti per correggere questi bug.

“D-Link consiglia vivamente di interrompere l’uso di questo prodotto e avverte che qualsiasi uso continuato può rappresentare un pericolo per i dispositivi ad esso collegati”, avverte il produttore nel suo bollettino di sicurezza.

Vale la pena notare che il router DIR-846W è ancora disponibile in alcuni mercati, inclusa l’America Latina.

L'articolo Le 4 RCE sui Router D-Link DIR-846W non verranno risolte comunica l’azienda proviene da il blog della sicurezza informatica.