Sai quyền mặc định trong cấu hình vsftpd của D-Link DIR-842

Một lỗ hổng đã được xác định trong D-Link DIR-842 2.01.B04. Lỗ hổng ảnh hưởng đến một chức năng chưa rõ của tệp /etc/vsftpd.conf thuộc thành phần vsftpd. Việc thao túng như vậy dẫn đến quyền mặc định không chính xác. Có thể thực hiện cuộc tấn công từ xa. Cuộc tấn công này có độ phức tạp cao. Khả năng khai thác được cho là khó.

• Phạm vi bị ảnh hưởng được xác nhận: D-Link DIR-842 firmware 2.01.B04, với thành phần vsftpd và tệp /etc/vsftpd.conf được nêu trong record.
• Tư vấn của D-Link mô tả các hardware revision DIR-842 thuộc phạm vi của tư vấn là sản phẩm legacy và không còn được hỗ trợ.
• Không có nhánh song song được xác nhận là không bị ảnh hưởng và không có fixed release được cung cấp. Không được suy luận rằng mọi firmware khác đều an toàn chỉ từ việc record chỉ nêu một phiên bản.

Thành phần bị ảnh hưởng là vsftpd, với tệp được nêu là /etc/vsftpd.conf. Hồ sơ mô tả một chức năng chưa rõ mà việc thao túng dẫn đến quyền mặc định không chính xác. VulDB cho biết quyền của các tệp được cài đặt trong quá trình cài đặt có thể cho phép bất kỳ người dùng nào sửa đổi chúng; điều này cho thấy rủi ro đối với tính toàn vẹn, nhưng không xác định chính xác permission bits, owner hoặc code path liên quan. Các chỉ số do CNA cung cấp mô tả cuộc tấn công có thể thực hiện từ xa, độ phức tạp cao, yêu cầu quyền hạn thấp và không cần user interaction. Tài liệu công khai chưa xác định tham số do kẻ tấn công kiểm soát, network endpoint, luồng xác thực hoặc việc thao tác từ xa có trực tiếp ghi vào tệp cấu hình hay không. Vì vậy, cơ chế triển khai chính xác vẫn chưa rõ.

• Hồ sơ xác nhận khả năng thực hiện tấn công qua network.
• Các chỉ số CNA mô tả attack complexity cao, yêu cầu low privileges và không cần user interaction.
• VulDB cho biết chưa có exploit sẵn có; trường public_exploit trong record cũng là false.
• Không có campaign, nạn nhân hoặc trường hợp lạm dụng cụ thể nào được nêu trong các bằng chứng đã xem xét. Điều này không chứng minh rằng chưa từng có hoạt động khai thác ngoài phạm vi dữ liệu hiện có.

Tác động kỹ thuật chính là integrity impact do quyền mặc định của thành phần cấu hình có thể bị thiết lập không chính xác. Nếu khai thác thành công, hậu quả có thể bao gồm thay đổi trái phép đối với cấu hình hoặc tệp được bảo vệ bởi các quyền đó. Các chỉ số được cung cấp cho thấy không có tác động được chỉ định đối với confidentiality hoặc availability, nhưng tài liệu công khai không mô tả đầy đủ chuỗi khai thác thực tế. CWE-266 xuất hiện cùng CWE-276, tuy nhiên bằng chứng hiện có chưa chứng minh một chuỗi privilege escalation hoàn chỉnh hoặc quyền kiểm soát toàn bộ thiết bị.

Tác động đã được xác nhận chủ yếu là suy giảm tính toàn vẹn của cấu hình dịch vụ trên router. Nếu kẻ tấn công đáp ứng được các điều kiện chưa được công bố đầy đủ, việc quyền mặc định không chính xác có thể cho phép thay đổi trái phép cấu hình hoặc các tệp liên quan; bằng chứng hiện có chưa xác định thay đổi cụ thể nào sẽ xảy ra. Hồ sơ không thiết lập một kịch bản rò rỉ dữ liệu, ngừng dịch vụ hoặc thực thi mã tùy ý. Về vận hành, các thiết bị thuộc dòng legacy có thể cần được thay thế vì nhà sản xuất không dự kiến phát triển firmware bổ sung.

1. Thay thế D-Link DIR-842 bằng một thiết bị hiện đang được hỗ trợ. D-Link cho biết không có kế hoạch phát triển firmware bổ sung cho các hardware revision legacy thuộc phạm vi tư vấn.
2. Nếu chưa thể thay thế ngay, sử dụng firmware mới nhất từng được phát hành cho đúng hardware revision và khu vực của thiết bị. Đây là hướng dẫn của nhà cung cấp, không phải một fixed release đã được xác nhận cho lỗ hổng này.
3. Tắt chức năng remote management khi không cần thiết. Sử dụng mật khẩu quản trị mạnh, duy nhất và bật Wi-Fi encryption với mật khẩu không dùng lại.
4. Hạn chế thiết bị khỏi các mạng không tin cậy trong thời gian chờ thay thế, đồng thời theo dõi các thay đổi bất thường đối với cấu hình vsftpd nếu nền tảng cho phép.
5. Không coi một firmware branch khác là đã được sửa hoặc không bị ảnh hưởng khi chưa có xác nhận của nhà cung cấp.

1. Kiểm kê các thiết bị D-Link DIR-842, hardware revision và firmware đang chạy; đối chiếu với nhánh firmware bị ảnh hưởng trong affected_summary.
2. Nếu có quyền truy cập phù hợp, kiểm tra firmware hoặc giao diện chẩn đoán của thiết bị để xác định sự hiện diện của vsftpd và /etc/vsftpd.conf; ghi nhận owner và permission bits thực tế.
3. Kiểm tra việc quản trị từ xa có đang bật hay không và xác minh thiết bị không được công khai ngoài phạm vi cần thiết.
4. Nếu thiết bị có log quản trị hoặc log thay đổi cấu hình, rà soát các thay đổi bất thường liên quan đến cấu hình vsftpd. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
5. Không có log signature, IOC hoặc permission baseline cụ thể nào được công bố. Việc không thấy log đáng ngờ không chứng minh thiết bị an toàn.