CVE-2014-100005
D-Link DIR-600 Router Cross-Site Request Forgery (CSRF) Vulnerability
Beschreibung
CVE-2014-100005 beschreibt mehrere Cross-Site Request Forgery (CSRF) Schwachstellen im D-Link DIR-600 Router (Rev. Bx) mit Firmware-Versionen vor 2.17b02. Die Schwachstellen ermoglichen es Angreifern, die Authentifizierung von Administratoren zu ubernehmen und unbemerkt Administrator-Konten zu erstellen oder die Fernverwaltung zu aktivieren. Mit einem CVSS-Score von 8.8 (HIGH) stellt diese Schwachstelle ein erhebliches Risiko dar. Sie wurde in den CISA KEV-Katalog aufgenommen und weist einen EPSS-Score von 0.40758 (97.3. Perzentil) auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-600 firmware | <= 2.16ww |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://resources.infosecinstitute.com/csrf-unauthorized-remote-admin-access/(Exploit, Third Party Advisory)
- http://secunia.com/advisories/57304(Broken Link)
- http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10018(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/91794(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-100005(US Government Resource)
Schwachstellentyp
Fur CVE-2014-100005 wurde keine spezifische CWE-Klassifikation zugewiesen. Die Schwachstelle entspricht funktional einer Cross-Site Request Forgery (CSRF), die typischerweise als CWE-352 klassifiziert wird. Bei CSRF-Angriffen wird ein authentifizierter Benutzer dazu gebracht, ungewollt Aktionen auf einer Webanwendung auszufuhren, bei der er angemeldet ist. Im Fall des DIR-600 fehlen Anti-CSRF-Token bei kritischen Verwaltungsfunktionen wie der Kontoerstellung und der Aktivierung der Fernverwaltung.
Auswirkungsanalyse
Die Auswirkungen von CVE-2014-100005 sind umfassend und betreffen alle drei Sicherheitsziele. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass der Angriff uber das Netzwerk mit geringer Komplexitat durchgefuhrt werden kann, jedoch die Interaktion eines Administrators erfordert (z.B. Besuch einer praparierter Webseite). Vertraulichkeit, Integritat und Verfugbarkeit werden alle als hoch eingestuft. In der Praxis bedeutet dies, dass ein Angreifer nach erfolgreicher Ausnutzung vollstandige Kontrolle uber den Router erlangen kann: Er kann Administrator-Konten erstellen, die Fernverwaltung aktivieren und die gesamte Netzwerkkonfiguration manipulieren. Der EPSS-Score von 40.8% (97.3. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Die Kompromittierung eines Routers kann als Ausgangspunkt fur Man-in-the-Middle-Angriffe, DNS-Hijacking oder Pivoting in interne Netzwerke dienen. Der Ransomware-Status wird von der CISA als Unknown gefuhrt.
Exploit-Reifegrad
CVE-2014-100005 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, mit einer Behebungsfrist bis zum 6. Juni 2024. Ein detaillierter Exploit ist offentlich dokumentiert, der den Angriffspfad uber praparierte HTTP-Konfigurationsmodule an hedwig.cgi beschreibt. Der EPSS-Score von 0.40758 (97.3. Perzentil) bestatigt die hohe Wahrscheinlichkeit aktiver Ausnutzung. D-Link hat einen Sicherheitspatch bereitgestellt, der die Firmware auf Version 2.17b02 aktualisiert. Der Ransomware-Status ist derzeit als Unknown klassifiziert.
Behebung
-
Firmware-Version prufen: Uberprufen Sie in der Administrationsoberflache des D-Link DIR-600, ob eine Firmware-Version vor 2.17b02 installiert ist. Alle Versionen bis einschliesslich 2.16WW sind betroffen.
-
Firmware auf Version 2.17b02 oder hoher aktualisieren: Laden Sie die aktuelle Firmware von der D-Link Sicherheitsseite herunter und installieren Sie diese uber die Administrationsoberflache des Routers.
-
Fernverwaltung deaktivieren: Stellen Sie sicher, dass die Fernverwaltung (Remote Management) deaktiviert ist, da die CSRF-Schwachstelle auch zur Aktivierung dieser Funktion missbraucht werden kann.
-
Administrator-Konten uberprufen: Kontrollieren Sie die Liste der Administrator-Konten auf dem Router und entfernen Sie unbekannte oder nicht autorisierte Konten. Andern Sie das Passwort des Hauptadministrators.
-
Gerat ersetzen bei fehlenden Updates: Da der DIR-600 ein alteres Modell ist, empfiehlt es sich, das Gerat durch einen aktuell unterstutzten Router zu ersetzen, der regelm. Sicherheitsupdates erhalt.
Technische Details
Der CVSS v3.1-Vektor fur CVE-2014-100005 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H mit einem Score von 8.8. Im Detail: Angriffsvektor (AV:N) - Der Angriff erfolgt uber das Netzwerk, typischerweise indem ein Administrator eine praparierte Webseite besucht. Angriffskomplexitat (AC:L) - Keine speziellen Bedingungen sind erforderlich. Erforderliche Privilegien (PR:N) - Der Angreifer benotigt keine Authentifizierung am Router. Benutzerinteraktion (UI:R) - Ein Administrator muss eine praparierte Webseite besuchen oder einen manipulierten Link anklicken. Scope (S:U) - Die Auswirkungen beschranken sich auf den Router. Vertraulichkeit (C:H), Integritat (I:H) und Verfugbarkeit (A:H) sind alle maximal bewertet. Der technische Angriff nutzt mehrere CSRF-Schwachstellen in den CGI-Endpunkten des Routers aus. Uber manipulierte Konfigurationsmodule, die an hedwig.cgi gesendet werden, kann ein Angreifer (1) neue Administrator-Konten erstellen oder (2) die Fernverwaltung aktivieren. Ein weiterer Angriffsvektor uber pigwidgeon.cgi ermoglicht es, Konfigurationsanderungen uber die Aktion SETCFG,SAVE,ACTIVATE zu aktivieren. Der Router validiert keine CSRF-Token bei diesen Anfragen, wodurch der Browser eines authentifizierten Administrators die schadhaften Anfragen automatisch ausfuhrt.
Häufig gestellte Fragen
Was ist CVE-2014-100005?
CVE-2014-100005 beschreibt mehrere CSRF-Schwachstellen im D-Link DIR-600 Router. Ein Angreifer kann die aktive Sitzung eines Administrators missbrauchen, um ohne dessen Wissen Administrator-Konten zu erstellen oder die Fernverwaltung des Routers zu aktivieren.
Wie kann ein Angreifer diese Schwachstelle ausnutzen?
Der Angreifer muss einen authentifizierten Administrator dazu bringen, eine praparierte Webseite zu besuchen oder einen manipulierten Link zu offnen. Der Browser des Administrators sendet dann automatisch die schadhaften Anfragen an den Router, da keine CSRF-Token validiert werden.
Ist ein Firmware-Update verfugbar?
Ja, D-Link hat die Firmware-Version 2.17b02 veroffentlicht, die diese Schwachstellen behebt. Das Update ist uber die D-Link Sicherheitshinweise verfugbar. Allerdings ist der DIR-600 ein alteres Modell und erhalt moglicherweise keine zukunftigen Updates mehr.
Sollte ich meinen D-Link DIR-600 ersetzen?
Angesichts des Alters des Gerats und der Schwere der Schwachstelle empfiehlt es sich, den DIR-600 durch einen aktuellen Router zu ersetzen, der regelm. Sicherheitsupdates erhalt und moderne Schutzmechanismen wie CSRF-Token implementiert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.