Cette faille de sécurité critique affecte plus de 61 000 NAS D-Link, mais elle ne sera pas patchée !
61 000, c'est le nombre de NAS D-Link vulnérables à une faille de sécurité critique, dont un exploit public est disponible, mais qui ne recevront pas de mise à jour de sécurité, car ils sont en fin de vie... Faisons le point sur cette menace.
Cette nouvelle faille de sécurité critique, associée à un score CVSS de 9.2 sur 10 et à la référence CVE-2024-10914, est présente dans la commande "cgi_user_add". Un attaquant non authentifié peut exploiter cette vulnérabilité pour exécuter des commandes shell arbitraires à distance sur le NAS D-Link, grâce à des requêtes HTTP GET spécialement conçues. Cela passe par une manipulation des arguments présents dans la requête HTTP envoyée à l'appareil vulnérable.
Le chercheur en sécurité Netsecfish a publié des détails techniques sur cette vulnérabilité. Il explique que l'exploitation nécessite d'ajouter une entrée malveillante dans le paramètre "name" de la requête. Il donne également un exemple :
curl "http://[Target-IP]/cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;<INJECTED_SHELL_COMMAND>;%27" Comment se protéger de la CVE-2024-10914 ?
Pour se protéger de cette faille de sécurité, l'utilisateur doit appliquer un correctif sur son NAS D-Link. Le problème, c'est que les modèles vulnérables sont en fin de vie et qu'ils ne bénéficieront pas de ce patch. Voici la liste des appareils et des versions vulnérables :
- DNS-320 version 1.00
- DNS-320LW version 1.01.0914.2012
- DNS-325 version 1.01, version 1.02
- DNS-340L version 1.08
La recommandation de D-Link est donc la suivante : remplacer le matériel par un modèle encore pris en charge. Bien entendu, ce n'est pas si simple... De ce fait, il est préférable de ne pas exposer l'appareil vulnérable sur Internet pour limiter les risques de compromission.
De son côté, Netsecfish a effectué une analyse à partir de la plateforme FOFA pour identifier les appareils D-Link vulnérables. Cette recherche a retourné 61 147 résultats, dont 41 097 adresses IP uniques.
En avril dernier, c'est une porte dérobée codée en dur qui avait été identifiée dans le firmware de plusieurs appareils D-Link également en fin de vie, comme nous l'évoquions dans cet article. 92 000 appareils exposés sur Internet étaient vulnérables.
Ou peut être, serait il plus judicieux d’éviter la marque.