CVE-2014-8361
Realtek SDK Improper Input Validation Vulnerability
Beschreibung
CVE-2014-8361 ist eine kritische Schwachstelle im miniigd SOAP-Dienst des Realtek SDK, die es entfernten Angreifern ermöglicht, über eine manipulierte NewInternalClient-Anfrage beliebigen Code auszuführen. Betroffen sind zahlreiche Geräte, die das Realtek SDK verwenden, darunter diverse D-Link-Router (DIR-905L, DIR-605L, DIR-600L, DIR-619L, DIR-809 u. a.) sowie NEC-Aterm-Geräte (WG1900HP2, WG1800HP4, W1200EX u. a.). Ein Angreifer kann ohne Authentifizierung über das Netzwerk die vollständige Kontrolle über betroffene Geräte übernehmen. Die Schwachstelle wurde in den CISA-KEV-Katalog aufgenommen und wird nachweislich seit Jahren aktiv ausgenutzt – der EPSS-Score von 94 % (99,9. Perzentil) unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-905l firmware | <= 2.05b01 |
| dlink | dir-605l firmware | <= 1.14b06; <= 2.07b02; <= 3.03b07 |
| dlink | dir-600l firmware | <= 1.15; <= 2.056b06 |
| dlink | dir-619l firmware | <= 1.15; <= 2.07b02 |
| dlink | dir-809 firmware | <= 1.04b02 |
| dlink | dir-900l firmware | < 1.15b01 |
| realtek | realtek sdk | - |
| dlink | dir-501 firmware | <= 1.01b04 |
| dlink | dir-515 firmware | <= 1.01b04 |
| dlink | dir-615 firmware | 10.01b02; <= 6.06b03 |
| aterm | wg1900hp2 firmware | <= 1.3.1 |
| aterm | wg1900hp firmware | <= 2.5.1 |
| aterm | wg1800hp4 firmware | <= 1.3.1 |
| aterm | wg1800hp3 firmware | <= 1.5.1 |
| aterm | wg1200hs2 firmware | <= 2.5.0 |
| aterm | wg1200hp3 firmware | <= 1.3.1 |
| aterm | wg1200hp2 firmware | <= 2.5.0 |
| aterm | w1200ex firmware | <= 1.3.1 |
| aterm | w1200ex-ms firmware | <= 1.3.1 |
| aterm | wg1200hs firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://jvn.jp/en/jp/JVN47580234/index.html(Third Party Advisory)
- http://jvn.jp/en/jp/JVN67456944/index.html(Third Party Advisory)
- http://packetstormsecurity.com/files/132090/Realtek-SDK-Miniigd-UPnP-SOAP-Command-Execution.html(Third Party Advisory, VDB Entry)
- http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10055(Vendor Advisory)
- http://www.securityfocus.com/bid/74330(Broken Link, Third Party Advisory, VDB Entry)
- http://www.zerodayinitiative.com/advisories/ZDI-15-155/(Third Party Advisory, VDB Entry)
- https://sensorstechforum.com/hinatabot-cve-2014-8361-ddos/(Third Party Advisory)
- https://web.archive.org/web/20150909230440/http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10055(Third Party Advisory)
- https://www.exploit-db.com/exploits/37169/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-8361(US Government Resource)
Schwachstellentyp
Für CVE-2014-8361 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle im miniigd SOAP-Dienst des Realtek SDK ermöglicht Remote Code Execution über manipulierte UPnP-SOAP-Anfragen. Die zugrunde liegende Schwäche liegt in einer unzureichenden Eingabevalidierung innerhalb des NewInternalClient-Handlers, wodurch Angreifer beliebigen Code einschleusen und ausführen können.
Auswirkungsanalyse
CVE-2014-8361 hat mit einem CVSS-Score von 9.8 (Kritisch, CVSS v3.1) die höchste Gefährdungsstufe. Angriffsvektor (Netzwerk): Die Schwachstelle ist aus der Ferne ausnutzbar, ohne dass physischer Zugang zum Gerät erforderlich ist – der UPnP-Dienst ist in vielen Heimnetzwerken standardmäßig aktiv und aus dem lokalen Netz erreichbar. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen; öffentlich verfügbare Exploit-Tools machen den Angriff trivial. Keine Authentifizierung erforderlich: Ein Angreifer benötigt weder Zugangsdaten noch eine Benutzerinteraktion, um die Schwachstelle auszunutzen. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung erhält der Angreifer vollständige Kontrolle über das Gerät – er kann Daten abfangen, Firmware manipulieren und das Gerät für DDoS-Angriffe oder als Botnetz-Knoten missbrauchen. Der EPSS-Score von 94 % zeigt, dass diese Schwachstelle mit nahezu absoluter Sicherheit aktiv ausgenutzt wird.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2014-8361 über mehrere Quellen, darunter Packet Storm Security und Exploit-DB. Zudem wurde die Schwachstelle in der Zero Day Initiative unter ZDI-15-155 veröffentlicht. Die CISA hat CVE-2014-8361 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt – die Schwachstelle wird nachweislich seit 2014 bis mindestens 2023 aktiv ausgenutzt, unter anderem durch den HinataBot für DDoS-Angriffe. Der EPSS-Score von 94,0 % (99,9. Perzentil) bestätigt eine nahezu sichere Ausnutzungsaktivität und unterstreicht die dringende Notwendigkeit sofortiger Gegenmaßnahmen.
Behebung
- Herstellerempfehlungen umsetzen oder Gerät außer Betrieb nehmen: Gemäß CISA-KEV-Katalog sollten Maßnahmen gemäß Herstelleranweisungen angewendet oder das Produkt außer Betrieb genommen werden, falls keine Patches verfügbar sind. Für D-Link-Geräte sind die Sicherheitshinweise von D-Link zu beachten.
- Firmware-Update durchführen: Für alle betroffenen Geräte (D-Link DIR-905L, DIR-605L, DIR-600L, DIR-619L, DIR-809, DIR-900L, DIR-501, DIR-515, DIR-615 sowie NEC-Aterm-Modelle) die neueste verfügbare Firmware installieren. Bei End-of-Life-Geräten ohne verfügbares Update das Gerät durch ein aktuelles Modell ersetzen.
- UPnP deaktivieren: Den UPnP-Dienst (miniigd) auf dem Router deaktivieren, um die Angriffsfläche zu reduzieren. UPnP ist in den meisten Heimnetzwerken nicht zwingend erforderlich und stellt ein erhebliches Sicherheitsrisiko dar.
- Netzwerksegmentierung und Zugangskontrolle: Den Zugriff auf die Verwaltungsoberfläche des Routers auf vertrauenswürdige IP-Adressen beschränken. Sicherstellen, dass der UPnP-Port nicht aus dem Internet erreichbar ist. Netzwerkprotokolle auf verdächtige SOAP-Anfragen überwachen.
- Überwachung und Erkennung: Netzwerk-Logs auf ungewöhnliche UPnP-SOAP-Anfragen (insbesondere NewInternalClient) überprüfen. IoC-Datenbanken zu HinataBot und verwandten Botnetz-Aktivitäten konsultieren.
Technische Details
CVE-2014-8361 betrifft den miniigd-SOAP-Dienst innerhalb des Realtek SDK, der UPnP-Funktionalitäten (Universal Plug and Play) für Netzwerkgeräte bereitstellt. Schwachstellenmechanismus: Der SOAP-Handler für die Aktion NewInternalClient validiert die übergebenen Parameter nicht ausreichend, bevor diese in Systembefehle eingebettet werden. Ein Angreifer kann durch eine speziell präparierte SOAP-Anfrage an den miniigd-Dienst beliebigen Code im Kontext des Dienstes ausführen. Angriffsvektor: Der Angriff erfolgt über das Netzwerk (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) ohne jegliche Authentifizierung oder Benutzerinteraktion. Da der UPnP-Dienst typischerweise auf Standardports lauscht und in vielen Heimroutern standardmäßig aktiviert ist, ist die Angriffsfläche erheblich. Breite der Betroffenheit: Da das Realtek SDK von zahlreichen Geräteherstellern (D-Link, NEC/Aterm u. a.) verwendet wird, betrifft die Schwachstelle eine Vielzahl verschiedener Router-Modelle und macht sie zu einem bevorzugten Ziel für Botnetz-Kampagnen.
Häufig gestellte Fragen
Wird CVE-2014-8361 aktiv ausgenutzt?
Ja, CVE-2014-8361 wird nachweislich aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,0 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität. Die Schwachstelle wurde unter anderem durch den HinataBot für DDoS-Angriffe genutzt.
Welche Produkte sind von CVE-2014-8361 betroffen?
Betroffen sind alle Geräte, die das Realtek SDK mit dem miniigd-SOAP-Dienst verwenden. Dazu gehören zahlreiche D-Link-Router (DIR-905L, DIR-605L, DIR-600L, DIR-619L, DIR-809, DIR-900L, DIR-501, DIR-515, DIR-615) sowie NEC-Aterm-Geräte (WG1900HP2, WG1900HP, WG1800HP4, WG1800HP3, WG1200HS2, WG1200HP3, WG1200HP2, W1200EX, W1200EX-MS, WG1200HS). Weitere Geräte anderer Hersteller, die das Realtek SDK einsetzen, können ebenfalls betroffen sein.
Wie behebe ich CVE-2014-8361?
Die wichtigste Maßnahme ist die Installation der neuesten Firmware für das betroffene Gerät. Falls kein Update verfügbar ist, sollte das Gerät durch ein aktuelles Modell ersetzt werden. Als sofortige Gegenmaßnahme sollte UPnP auf dem Router deaktiviert und der Zugriff auf die Verwaltungsoberfläche eingeschränkt werden. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2014-8361?
CVE-2014-8361 ist mit einem CVSS-Score von 9.8 als kritisch eingestuft (CVSS v3.1). Die Schwachstelle erlaubt die vollständige Kompromittierung des betroffenen Geräts ohne Authentifizierung aus dem Netzwerk. Mit einem EPSS-Score im 99,9. Perzentil gehört diese Schwachstelle zu den am häufigsten ausgenutzten Sicherheitslücken überhaupt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.