A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou recentemente duas falhas de segurança que impactam roteadores da D-Link ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), com base em evidências de exploração ativa.
As vulnerabilidades listadas são as seguintes:
– CVE-2014-100005 – Uma vulnerabilidade de falsificação de solicitações entre sites (CSRF) que afeta roteadores D-Link DIR-600 e permite que um invasor altere configurações de roteador ao sequestrar uma sessão de administrador existente.
– CVE-2021-40655 – Uma vulnerabilidade de divulgação de informações que impacta roteadores D-Link DIR-605 e permite que invasores obtenham um nome de usuário e senha forjando uma solicitação POST HTTP para a página /getcfg.php.
Atualmente, não há detalhes sobre como essas falhas são exploradas, mas as agências federais foram instadas a aplicar as mitigações fornecidas pelo fornecedor até 6 de junho de 2024.
É importante observar que a CVE-2014-100005 afeta produtos legados da D-Link que atingiram o status de fim de vida (EoL), o que exige que as organizações que ainda os utilizam se aposentem e substituam os dispositivos.
Essa revelação surge após a equipe de Divulgação Segura da SSD revelar problemas de segurança não corrigidos nos roteadores DIR-X4860, que poderiam permitir que atacantes remotos não autenticados acessem a porta HNAP para obter permissões elevadas e executar comandos como root.
A SSD Secure Disclosure também disponibilizou um exploit de prova de conceito (PoC) que usa uma solicitação de login HNAP especialmente elaborada para a interface de gerenciamento do roteador, conseguindo burlar proteções de autenticação e obter a execução de código aproveitando uma vulnerabilidade de injeção de comandos.
A D-Link reconheceu o problema em um boletim próprio, declarando que uma correção está “Pendente de Lançamento / Em Desenvolvimento” e descrevendo a vulnerabilidade como uma falha de execução de comandos não autenticados de LAN-side.
Além disso, pesquisadores de cibersegurança divulgaram um exploit PoC para uma nova vulnerabilidade no Ivanti EPMM (CVE-2024-22026) que poderia permitir que um usuário local autenticado execute comandos arbitrários no dispositivo.
A vulnerabilidade reside em uma validação inadequada no comando de instalação da interface de linha de comando do EPMM, permitindo buscar um pacote RPM arbitrário de uma URL fornecida pelo usuário sem verificar a autenticidade.
Essa vulnerabilidade impacta todas as versões do EPMM anteriores à 12.1.0.0. Também corrigidos pela Ivanti estão dois outros problemas de injeção de SQL no mesmo produto, que poderiam permitir a um usuário autenticado com os privilégios adequados acessar ou modificar dados no banco de dados subjacente.
Embora não haja evidências de que essas falhas tenham sido exploradas, os usuários são aconselhados a atualizar para a versão mais recente para mitigar possíveis ameaças.