Multiples vulnérabilités dans D-Link

Date de publication :

CVE-2022-26258[Score CVSS v3.1: 9.8] (critique)

Une vérification insuffisante du nom de l’appareil renseigné par l’utilisateur dans une fonction du fichier /lan.asp de D-Link DIR-820L permet à un attaquant, en envoyant une requête spécifiquement forgée, d’exécuter du code arbitraire sur le système.

CVE-2022-28958[Score CVSS v3.1:9.8] (critique)

Une vérification insuffisante de paramètres envoyés par l’utilisateur dans une fonction du fichier hareport.php permet à un attaquant, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

Criticité

    Score CVSS v3.1: 9.8

La faille est activement exploitée

    Oui, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

    Pour l’ensemble des CVE présentées

CWE-94: Improper Control of Generation of Code ('Code Injection')

Détails sur l’exploitation

Pour l’ensemble des CVE présentées

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour la CVE-2022-26258

    D-Link DIR-820L 1.05.B03

Pour la CVE-2022-28958

    D-Link DIR-816L 2.06.B01

Solutions ou recommandations

Pour l’ensemble des CVE présentées

  • Les produits étant en fin de vie, aucun correctif n’est disponible.
  • Une surveillance des journaux d'activité est recommandée.

Liens