CVE-2021-20134
Təsvir
D-Link DIR-2640 cihazının 1.11B02 və daha aşağı versiyalarındakı Quagga xidmətləri mütləq yol keçidi (absolute path traversal) boşluğuna məruz qalıb. Bu boşluq uzaqdakı autentifikasiya olunmuş hücumçuya routerin fayl sistemindəki istənilən faylı hər hansı bir Quagga xidməti (zebra və ya ripd) tərəfindən istifadə olunan loq faylı kimi təyin etməyə imkan verir. Sonrakı loq mesajları zaman möhürü və bəzi loqlaşdırma meta-məlumatları ilə birlikdə həmin fayla əlavə ediləcəkdir. Routerin fayl sistemindəki shell skriptinə məlumatlar əlavə etmək üçün bu boşluqdan istifadə edərək və daha sonra həmin skriptin icrasını gözləyərək və ya tetikleyərək uzaqdan kodun icrası (RCE) mümkün ola bilər. Bu üsulla cihazda uzaqdan, autentifikasiya olunmamış root shell girişi asanlıqla əldə edilə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dlink dir-2640-us_firmware | v ≤ 1.11b02 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.