CVE-2022-40799

Vulnerabilidade de integridade no recurso 'Backup Config' do D-Link DNR-322L (gravador de vídeo em rede) permite que um atacante autenticado no dispositivo execute comandos arbitrários no sistema operacional subjacente. O impacto é alto (CVSS 8.8) porque compromete totalmente o dispositivo, mas a exigência de autenticação prévia (PR:L) reduz o alcance real do ataque a quem já tem alguma credencial de acesso à interface de gerenciamento.

A falha é classificada como CWE-494 (Download of Code Without Integrity Check). O mecanismo de 'Backup Config' do DNR-322L permite exportar e restaurar arquivos de configuração do equipamento, mas o processo de restauração não valida a integridade nem a autenticidade desse arquivo — não há assinatura, hash ou qualquer verificação de que o arquivo enviado é legítimo e não foi adulterado.

Como o firmware confia ciegamente no conteúdo do arquivo de backup ao restaurá-lo, um atacante com acesso à função de restore pode fabricar um arquivo de configuração malicioso contendo instruções que, ao serem processadas pelo dispositivo, resultam na execução de comandos no nível do sistema operacional embarcado (provavelmente Linux embarcado, como é comum em NVRs D-Link dessa geração).

O atacante controla o conteúdo do arquivo de backup submetido à rotina de restauração — é esse campo, sem verificação de integridade, que constitui a superfície de ataque. Não há detalhes públicos suficientes sobre qual campo específico da configuração é interpretado de forma insegura (por exemplo, se é um valor de configuração que acaba sendo passado a um shell script de inicialização), e não se deve presumir mecanismo interno sem confirmação — a característica central e verificada é a ausência de checagem de integridade no arquivo restaurado.

O pré-requisito real é autenticação prévia no painel administrativo do DNR-322L (PR:L no vetor CVSS) — não é um ataque pré-autenticação sobre a rede aberta. Isso significa que o atacante precisa ter obtido, por algum meio, credenciais válidas de acesso administrativo ou de gerenciamento do dispositivo (credenciais padrão, reutilizadas, vazadas, ou obtidas por outra vulnerabilidade encadeada).

Com essa credencial, o vetor de ataque é a própria função de restauração de configuração: o atacante submete um arquivo de backup malicioso pela interface (web GUI), e o dispositivo o processa sem validar sua integridade, levando à execução de comandos no sistema operacional do NVR. Existe prova de conceito pública (repositório no GitLab referenciado) demonstrando a exploração, o que reduz a complexidade prática para quem já tenha acesso autenticado ao equipamento.

A CVE está no catálogo KEV da CISA, confirmando exploração ativa em ambientes reais — não é exploração apenas teórica. O resultado final para o atacante é execução de comando arbitrário com os privilégios do processo que trata a restauração de config, tipicamente equivalente a controle total do dispositivo (impacto C:H/I:H/A:H no vetor CVSS), já que NVRs desse tipo normalmente rodam poucos processos com privilégios elevados.

O D-Link DNR-322L está classificado como End of Sale (fim de venda, revisão B1) e a página oficial do produto não lista um patch de firmware corrigindo esta CVE. A CISA, no próprio registro KEV, orienta aplicar mitigações conforme instrução do fornecedor ou, na ausência delas, descontinuar o uso do produto — linguagem que reflete a falta de correção disponível para um equipamento fora de suporte.

Como paliativo real, restrinja o acesso à interface administrativa do DNR-322L: isole-o em VLAN de gerência sem acesso direto à internet, elimine credenciais padrão/fracas e limite quem pode autenticar na interface web (o próprio equipamento oferece filtro de IP para conexões externas, conforme a ficha técnica). Isso não corrige a falta de verificação de integridade no processo de restore, mas reduz drasticamente quem pode chegar à pré-condição de autenticação necessária para explorar a falha.

Não existe mitigação por atualização de firmware documentada publicamente para esta CVE — trocar senha padrão ou usar HTTPS na gestão não elimina a vulnerabilidade em si, apenas dificulta a obtenção da credencial que é pré-requisito do ataque. Dado o status EoL/EoS do produto, a recomendação mais robusta, alinhada à orientação da CISA, é a substituição do equipamento em ambientes que exigem conformidade com prazos de correção (BOD 22-01 para agências federais dos EUA, por exemplo).

Não há assinatura ou padrão de log oficialmente publicado para detectar tentativas de exploração desta CVE especificamente. Como indício geral, monitore requisições à funcionalidade de restauração de backup/config na interface web do DNR-322L partindo de sessões autenticadas anômalas (horários incomuns, IPs de origem não habituais, uploads de arquivos de configuração fora do fluxo administrativo normal), além de tentativas de autenticação com credenciais padrão ou de força bruta que precedem o uso dessa função — já que a autenticação é pré-condição obrigatória do ataque.