Schwachstellen in D-Link NAS: Befehlsinjektion und Hintergrundkonto
Table of Contents
In mehreren Netzwerkspeichergeräten (NAS) von D-Link wurden hochkritische Sicherheitslücken entdeckt, die Modelle wie DNS-340L, DNS-320L, DNS-327L und DNS-325 betreffen. Die Schwachstelle CVE-2024-3272 (CVSS Score 9.8 / 10) befindet sich in der URI nas_sharing.cgi und resultiert aus zwei Hauptproblemen: einem Hintergrundkonto durch fest programmierte Anmeldeinformationen und einer Befehlsinjektionsanfälligkeit über den Systemparameter. Diese Sicherheitslücken ermöglichen die Ausführung beliebiger Befehle auf den betroffenen Geräten, was Angreifern den Zugang zu sensiblen Informationen, die Änderung der Systemkonfiguration oder die Verursachung von Dienstausfällen ermöglichen könnte. Es wird geschätzt, dass über 92.000 Geräte im Internet von dieser Problematik betroffen sind.
Die Schwachstellen sind spezifisch mit den Common Weakness Enumerations CWE-77 (Befehlsinjektion) und CWE-798 (Verwendung von fest programmierten Anmeldeinformationen) verknüpft.
Betroffene Geräteversionen sind unter anderem DNS-320L Version 1.11, DNS-325 Version 1.01, DNS-327L Version 1.09 und DNS-340L Version 1.08. Im Detail liegt das Problem im CGI-Skript nas_sharing.cgi vor, das eine Hintertür durch Offenlegung von Benutzernamen und Passwort ermöglicht – die Anfrage enthält Parameter für einen Benutzernamen (user=messagebus) mit einem leeren Passwortfeld (passwd=). Dies deutet auf eine Hintertür hin, die unbefugten Zugriff ohne ordnungsgemäße Authentifizierung ermöglicht. Zudem besteht eine Befehlsinjektionsmöglichkeit durch den Systemparameter, wobei der Systemparameter innerhalb der Anfrage einen base64-codierten Wert trägt, der nach Dekodierung ein Befehl zu sein scheint.
Zur Ausnutzung dieser Schwachstelle kann eine präparierte HTTP-GET-Anfrage an den Endpunkt /cgi-bin/nas_sharing.cgi gerichtet werden. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte es einem Angreifer ermöglichen, beliebige Befehle auf dem System auszuführen, was zu unbefugtem Zugriff auf sensible Informationen, Änderung von Systemkonfigurationen oder Dienstausfallsbedingungen führen kann.
Update vom 8.4.24: Exploit Tool veröffentlicht
zur Schwachstelle wurde kürzlich ein Exploit Tool auf Github veröffentlicht. Das Tool ermöglicht es Angreifern auch ohne tiefe technische Fähigkeiten Root Rechte auf exponierte NAS Systeme von D-Link zu erlangen. Ein Update ist daher dringend anzuraten.