CVE-2014-100005

O roteador doméstico D-Link DIR-600 (revisão de hardware Bx), com firmware 2.16WW ou anterior, tem quatro falhas de CSRF em páginas de configuração web que permitem a um atacante forjar requisições executadas pelo navegador de um administrador já autenticado. O impacto real depende de o administrador estar logado no painel do roteador — não é uma falha remota anônima, mas o CVSS alto reflete o que se consegue depois: criar conta de admin, ativar gerência remota e virar o controle total do dispositivo. Está no catálogo KEV da CISA desde maio de 2024, mas a ação recomendada não é patch: é aposentar o equipamento, porque a linha inteira já é EOL/EOS.

A causa é CWE-352 (Cross-Site Request Forgery) clássica: as páginas de configuração do DIR-600 aceitam requisições GET/POST que alteram estado do dispositivo sem qualquer token anti-CSRF, validação de origem ou checagem de referer. Como a autenticação do painel roda sobre sessão (cookie ou HTTP Basic mantido pelo navegador), qualquer requisição que chegue com essa sessão ativa é tratada como legítima, independente de quem a originou.

Quatro endpoints/ações são citados pelo fornecedor e pelo divulgador original (Dawid Czagan): (1) hedwig.cgi aceitando um 'módulo de configuração' forjado para criar uma conta de administrador nova; (2) o mesmo hedwig.cgi usado para habilitar gerência remota (que por padrão vem desativada); (3) pigwidgeon.cgi processando uma ação SETCFG,SAVE,ACTIVATE que persiste e ativa qualquer configuração enviada; e (4) diagnostic.php aceitando uma ação de ping, que serve tanto para sabotagem quanto para reconhecimento — força o roteador a pingar um host controlado pelo atacante, revelando o IP WAN do dispositivo.

O vetor CVSS reportado (AV:A/AC:L/PR:L/UI:N) é atípico para CSRF — normalmente se esperaria AV:N (a página maliciosa pode estar em qualquer lugar da internet) e UI:R (a vítima precisa carregar a página/forma forjada). A pontuação AV:A sugere que o scorer considerou a entrega efetiva do ataque como dependente de proximidade de rede com o painel administrativo, algo defensável já que o painel do DIR-600 normalmente só é acessível pela LAN quando a gerência remota está desligada (configuração padrão).

Pré-condição real: a vítima (administrador) precisa ter uma sessão ativa no painel web do roteador — logada, mesmo que a aba não esteja em foco — no momento em que visita uma página maliciosa contendo os formulários/requisições forjadas para hedwig.cgi, pigwidgeon.cgi ou diagnostic.php. Como o remote management vem desabilitado por padrão (o próprio advisory da D-Link reforça isso), na maioria dos casos o atacante precisa que a vítima esteja na mesma rede local do roteador (ou que a gerência remota já tenha sido ativada por algum motivo), o que reduz bastante a superfície real de exploração pela internet aberta.

A cadeia de exploração típica: o atacante hospeda uma página com tags de imagem/formulários auto-submissores apontando para o IP do roteador (frequentemente um IP padrão de fábrica, facilmente adivinhável) e induz a vítima a visitá-la enquanto está logada no painel. O navegador injeta a sessão autenticada automaticamente. A ação (1) cria uma conta de admin persistente controlada pelo atacante; a (2) habilita gerência remota, transformando um acesso restrito à LAN em acesso permanente pela WAN; a (3) força a persistência de qualquer configuração enviada; a (4) usa o ping para descobrir o IP público do roteador, útil como reconhecimento para ataques subsequentes diretos.

Existe módulo Metasploit público para esta CVE e ela está no catálogo KEV da CISA (confirmação de exploração em ambiente real, embora a CISA não detalhe campanha específica nem uso em ransomware — marcado como 'Unknown' nesse quesito).

O fornecedor corrigiu na versão de firmware 2.17b02, exclusivamente para a revisão de hardware Bx do DIR-600. Atualizar é a única correção real: aplicar via Maintenance → System → Upgrade Firmware no painel do dispositivo, confirmando antes a revisão de hardware impressa na etiqueta (produto/serial) — firmware de uma revisão não se aplica a outra.

A linha DIR-600 já atingiu fim de vida e fim de suporte (EOL/EOS) segundo a própria D-Link e a nota da CISA no KEV; não há atualização de segurança adicional planejada. A recomendação oficial no KEV é aposentar e substituir o equipamento — não existe mitigação de longo prazo suportada pelo fornecedor. Como controle compensatório imediato e limitado: manter a gerência remota desativada (padrão de fábrica), evitar navegar em outras páginas enquanto logado no painel administrativo do roteador, encerrar a sessão do painel após uso, e isolar a interface de gerência em uma VLAN/segmento sem acesso a navegação geral — isso reduz a superfície de CSRF mas não corrige a falta de proteção anti-forgery no firmware.

O que não funciona: um WAF ou proxy reverso não protege, porque o alvo é o próprio roteador na rede do usuário, não um serviço exposto atrás de infraestrutura corporativa. Trocar apenas a senha de admin também não mitiga — a falha não depende de credencial fraca, e sim da ausência de token CSRF em requisições que usam a sessão já autenticada.

Como o dispositivo é um roteador doméstico sem log centralizado robusto, sinais confiáveis são escassos. No próprio painel, indicadores de comprometimento incluem: contas de administrador que o operador não criou, gerência remota habilitada sem ação intencional do usuário, ou mudanças de configuração persistidas sem correlação com uso legítimo do painel. Em nível de rede, requisições GET/POST para hedwig.cgi, pigwidgeon.cgi ou diagnostic.php originadas por navegação cruzada (referer de domínio externo, ausência de referer, ou padrões de requisição automatizada/oculta em página web) são suspeitas, mas o DIR-600 não oferece logging detalhado o suficiente para reconstrução forense confiável — a ausência de evidência não indica ausência de exploração.