CVE-2018-25120
Açıklama
1.05 ve önceki firmware sürümlerini çalıştıran D-Link DNS-343 ShareCenter cihazları, Mail Test işlevinde bir komut enjeksiyonu zafiyeti içermektedir. Web bakım betiği, dahili goForm uç noktası olan '/goform/Mail_Test' adresine veri gönderir ve uygun girdi doğrulaması yapmaksızın birkaç form parametresini doğrudan bir sistem e-posta yardımcı programı çağrısında kullanır. Kimliği doğrulanmamış uzak bir saldırgan, kabuk komutlarını enjekte eden özel olarak hazırlanmış form verileri sağlayarak cihaz üzerinde root yetkileriyle kod çalıştırabilir. NOT: DNS-343 ürün hattının ömrünü tamamladığı (end-of-life) bildirilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dlink dns-343_firmware | v ≤ 1.0.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.