D-Link DIR-823X gặp lỗi chèn lệnh trong trình xử lý cấu hình WAN

Một lỗ hổng bảo mật đã được phát hiện trong D-Link DIR-823X đến phiên bản 20250416. Lỗi này ảnh hưởng đến hàm sub_415028 của tệp /goform/set_wan_settings. Việc thao túng tham số ppp_username dẫn đến command injection. Có thể thực hiện tấn công từ xa. Exploit đã được công khai và có thể bị khai thác.

• D-Link DIR-823X được CNA mô tả là bị ảnh hưởng đến và bao gồm phiên bản 20250416.
• Dữ liệu affected có cấu trúc xác nhận cụ thể phiên bản 20250416 là affected. Không có nhánh sản phẩm hoặc phiên bản song song nào khác được xác nhận trong record.
• Chưa có fixed release, bản vá hoặc ranh giới phiên bản không bị ảnh hưởng được cung cấp. Trạng thái của các phiên bản phát hành sau 20250416 vẫn chưa được xác minh.

D-Link DIR-823X có lỗi command injection trong hàm sub_415028 được gọi thông qua endpoint /goform/set_wan_settings. Tham số ppp_username không được kiểm tra đầy đủ, cho phép dữ liệu do người dùng kiểm soát đi vào luồng xử lý có thể thực thi lệnh. Bằng chứng hiện có cho thấy kẻ tấn công cần quyền truy cập ở mức thấp và có thể gửi yêu cầu qua mạng, nhưng không cần tương tác của người dùng. Chi tiết chính xác về lệnh gọi shell, sink thực thi và đặc quyền của tiến trình bị tác động chưa được xác lập.

Lỗi có thể bị khai thác từ xa qua giao diện quản trị mạng của router. Đặc tính khai thác được cung cấp cho thấy cần quyền truy cập ở mức thấp, độ phức tạp thấp và không cần người dùng khác tương tác. Tài liệu công khai trên GitHub có chứa PoC cho lỗi này, nhưng entry này không lặp lại payload hoặc chuỗi khai thác. Một mục trong danh mục GCVE được trả về khi nghiên cứu hiện đánh dấu việc khai thác là đã được xác nhận; thông tin đó là dữ liệu catalog của GCVE, không phải xác nhận riêng từ D-Link hoặc CISA. Bằng chứng đã xem xét không nêu tên chiến dịch, nạn nhân hoặc malware cụ thể.

Kết quả kỹ thuật được xác nhận là dữ liệu trong ppp_username có thể dẫn đến command injection trên chính router. Nếu lệnh được thực thi với quyền của dịch vụ quản trị, kẻ tấn công có thể có khả năng đọc hoặc sửa dữ liệu mà dịch vụ đó truy cập, thay đổi cấu hình hoặc làm gián đoạn hoạt động của thiết bị. Record không xác lập đặc quyền cuối cùng, khả năng truy cập hệ điều hành bên dưới hoặc việc ảnh hưởng lan sang các hệ thống khác. Vì vậy, nguy cơ đối với mạng tổ chức là có thể xảy ra nhưng cần đánh giá theo cấu hình và đặc quyền thực tế của từng thiết bị.

Nếu khai thác thành công, kẻ tấn công có thể làm thay đổi cấu hình router hoặc gây gián đoạn dịch vụ mạng, tùy theo đặc quyền của tiến trình xử lý. Việc thay đổi WAN hoặc các thiết lập liên quan có thể làm mất kết nối, chuyển hướng lưu lượng hoặc làm suy giảm độ tin cậy của mạng nội bộ. Lỗi cũng có thể tạo điều kiện cho việc duy trì truy cập trên thiết bị hoặc dùng router làm điểm trung gian cho hoạt động tiếp theo, nhưng các hậu quả này chưa được xác nhận trực tiếp cho mọi triển khai. Mức độ ảnh hưởng thực tế phụ thuộc vào việc giao diện quản trị có thể truy cập từ đâu và đặc quyền runtime của firmware.

1. Kiểm tra thông báo hỗ trợ của D-Link và chỉ nâng cấp lên firmware mà D-Link xác nhận rõ là khắc phục lỗi này. Không có fixed release cụ thể được xác nhận trong bằng chứng hiện có.
2. Trong khi chưa có bản sửa lỗi đã xác minh, giới hạn giao diện quản trị chỉ cho các mạng quản trị tin cậy và loại bỏ khả năng truy cập từ các mạng không cần thiết.
3. Rà soát các thiết bị có phiên bản affected, ưu tiên cô lập những thiết bị có giao diện quản trị mở rộng hoặc đã ghi nhận thay đổi WAN bất thường.
4. Nếu nghi ngờ đã bị khai thác, cô lập router, lưu giữ log và cấu hình, thay đổi thông tin xác thực quản trị từ một thiết bị sạch, sau đó khôi phục firmware và cấu hình theo quy trình tin cậy của tổ chức.
5. Không coi việc không phát hiện log đáng ngờ là bằng chứng thiết bị an toàn, vì record không cung cấp IOC đầy đủ hoặc cơ chế logging bắt buộc.

1. Kiểm kê các thiết bị D-Link DIR-823X và xác minh mã firmware đang chạy. Đối chiếu với phạm vi affected trong entry này, không giả định rằng một nhánh chưa được xác minh là an toàn.
2. Xác định liệu giao diện quản trị có cung cấp endpoint /goform/set_wan_settings hay không và liệu giao diện đó có thể truy cập từ các mạng không tin cậy.
3. Nếu router lưu nhật ký quản trị hoặc HTTP, tìm các yêu cầu tới endpoint này và các thay đổi WAN bất thường. Đây là dấu hiệu cần xem xét, không phải IOC được xác nhận.
4. Kiểm tra cấu hình WAN, DNS, tài khoản quản trị và các thay đổi firmware không được phê duyệt. Việc không thấy log hoặc thay đổi bất thường không chứng minh thiết bị không bị khai thác.
5. Nếu phát hiện dấu hiệu xâm nhập, cô lập thiết bị, bảo toàn log và cấu hình để phân tích trước khi khôi phục.