CVE-2019-16920

CVSS 9.8 CRITICALEPSS 100.0%● KEVCWE-78

Em resumo

Roteadores D-Link possuem uma falha crítica onde invasores podem enviar comandos especiais para uma ferramenta de diagnóstico de rede sem precisar de senha, permitindo assumir controle total do dispositivo.

Detalhe técnico

Vulnerabilidade de injeção de comando não autenticada no endpoint CGI PingTest permite que atacantes remotos executem comandos arbitrários do sistema operacional através de entrada maliciosa. A vulnerabilidade requer acesso à rede do dispositivo afetado, mas nenhuma credencial de autenticação. A exploração resulta em controle completo do dispositivo com privilégios de root.

Resumo gerado e traduzido por IA a partir da descrição oficial.

Unauthenticated remote code execution occurs in D-Link products such as DIR-655C, DIR-866L, DIR-652, and DHP-1565. The issue occurs when the attacker sends an arbitrary input to a "PingTest" device common gateway interface that could lead to common injection. An attacker who successfully triggers the command injection could achieve full system compromise. Later, it was independently found that these are also affected: DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, and DIR-825.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 1

githubgithub.com/eniac888/CVE-2019-16920-MassPwn3r★ 1

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://fortiguard.com/zeroday/FG-VD-19-117 https://medium.com/%4080vul/determine-the-device-model-affected-by-cve-2019-16920-by-zoomeye-bf6fec7f9bb3 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-16920 https://www.kb.cert.org/vuls/id/766427 https://www.seebug.org/vuldb/ssvid-98079