آسیب پذیری اجرای کد از راه دور روتر D-Link وصله نخواهد شد

دسته بندی ها : اخبار ۲۰ مهر ۱۳۹۸ فایزه اشرفیان اشرفیان 45 بازدید

با توجه به قدیمی بودن محصولات، مشکل امنیتی برطرف نخواهد شد.

محققان وجود آسیب پذیری شدید اجرای کد از راه دور را در طیف وسیعی از روترهای D-Link به طور علنی افشا کرده اند.

هفته گذشته، آزمایشگاه‌های FortiGuard Fortinet اظهار کردند که آسیب‌پذیری اصلی، که با عنوان CVE-2019-16920 شناخته شده‌است، در سپتامبر ۲۰۱۹ کشف شد.

به گفته Thanh Nguyen محقق Fortinet، آسیب‌پذیری تزریق دستور (command injection) غیرمجاز، بر روی سیستم عامل D-Link در محصولات DIR-655، DIR-866L ، DIR-652 و DHP-1565 تأثیر می‌گذارد.

این آسیب پذیری، RCE توصیف شده است که در آن مهاجم ورودی دلخواه را به رابط  “PingTest” ارسال می‌کند که منجر به تزریق فرمان و دردسترس قرارگرفتن کامل سیستم می شود. این باگ مهم CVSS v3.1 با نمره ی ۹.۸  و یک CVSS v2.0 با نمره ی ۱۰.۰ معرفی شده است.

برای استفاده از این آسیب پذیری، مهاجمان نیاز به login کردن می باشند که اعتبارسنجی ضعیفی دارد.

اعتبارسنجی نادرست، صرف نظر از این که آیا کاربر اجازه انجام این کار را دارد یا خیر، اجازه‌ی اجرای کد را می دهد و همچنین به مهاجمین امکان به دست آوردن حسابهای کاربر ادمین و درنتیجه نصب دردشتی را میدهد.

محققان امنیتی در تاریخ ۲۲ سپتامبر یافته‌های خود را به D-Link اعلام کردند. در مدت ۲۴ ساعت فروشنده سخت افزار آسیب پذیری را تأیید کرد و سه روز بعد، D-Link بیان داشت که هیچ وصله‌ای برای پشتیبانی از محصولات End of Life، منتشر نخواهد شد.

با توجه به قدیمی بودن این روترها، جای تعجب ندارد که D-Link تصمیم به رفع این مشکل نگرفته است. دستگاه‌ها – و سیستم عامل آن‌ها – همه دارای تاریخ انقضا هستند و در نهایت پشتیبانی به پایان خواهد رسید، بنابراین کاربران این روترها باید برای جایگزینی محصولات قدیمی خود اقدام نمایند تا خطر سوءاستفاده را کاهش دهند.

با این وجود، هر تصمیم مرتبط با امنیت که D-Link تاکنون گرفته است، لزوماً منطقی نبوده است.

در خبرهای مرتبط، اخیراً D-Link در توافق با کمیسیون تجارت فدرال ایالات متحده (FTC) موافقت کرده است تا اتهامات مربوط به عدم رسیدگی به گزارش‌های آسیب پذیری و عدم ارائه امنیت محصولات خود را به عهده بگیرد.

فروشنده به عنوان بخشی از توافق‌نامه، یک برنامه امنیتی جدید برای روترها و محصولات متصل به اینترنت ایجاد خواهد کرد و همچنین برای ده سال آینده آن را به بازرسی‌های امنیتی ارسال خواهد نمود.

راه آسان‌تری برای ارتباط با کاربران‌مان پیدا کرده‌ایم :) عضویت در کانال

نظرات کاربران

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

لینک کوتاه :

عضویت در خبرنامه ویژه مشتریان سیگما پلاس

با عضویت در خبرنامه ویژه سیگما پلاس از آخرین جشنواره های سایت باخبر شوید!