Se ha identificado una vulnerabilidad crítica en múltiples modelos de dispositivos NAS (Network Attached Storage) D-Link, que ponen en riesgo la seguridad de más de 60.000 unidades alcanzadas el final de su vida útil.
Vulnerabilidad con puntuación crítica
La vulnerabilidad, catalogada como CVE-2024-10914, tiene una puntuación de gravedad crítica de 9,2. Se encuentra en el comando "cgi_user_add", donde el parámetro de nombre no está suficientemente sanitizado. Un atacante no autenticado podría aprovecharlo para inyectar comandos de shell arbitrarios enviando solicitudes HTTP GET especialmente diseñadas a los dispositivos.
Modelos afectados
La falla afecta a varios modelos de dispositivos NAS D-Link que suelen utilizarse en pequeñas empresas:
- DNS-320 Versión 1.00
- DNS-320LW Versión 1.01.0914.2012
- DNS-325 Versión 1.01, Versión 1.02
- DNS-340L Versión 1.08
Exploit y método de explotación
Según un investigador de seguridad, Netsecfish, la vulnerabilidad puede ser aprovechada enviando una solicitud HTTP GET diseñada para el dispositivo NAS con una entrada maliciosa en el parámetro de "name". El ejemplo proporcionado muestra cómo se podría construir una URL que activa el comando cgi_user_add con un parámetro de nombre que incluye un comando de shell inyectado.
curl "http://[Target-IP]/cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;[INJECTED_COMMAND];%27"
Datos de exposición
Una búsqueda realizada en la plataforma FOFA arrojó 61.147 resultados en 41.097 direcciones IP únicas para dispositivos D-Link vulnerables a CVE-2024-10914.
Respuesta de D-Link
En un boletín de seguridad, D-Link confirmó que no habrá una solución para CVE-2024-10914 y recomienda a los usuarios eliminar los productos vulnerables. Si eso no es posible en este momento, se sugiere aislarlos de la Internet pública o someterlos a condiciones de acceso más estrictas.
Historial de vulnerabilidades previas
El mismo investigador descubrió en abril de este año una inyección de comando arbitraria y una falla de puerta trasera codificada, rastreada como CVE-2024-3273, que afecta principalmente a los mismos modelos NAS D-Link. En aquel entonces, los análisis de Internet de FOFA arrojaron 92.589 resultados.
En respuesta a la situación en ese momento, un portavoz de D-Link indicó que la empresa ya no fabrica dispositivos NAS y que los productos afectados habían alcanzado el EoL y no recibirán actualizaciones de seguridad.