CVE-2015-2051
D-Link DIR-645 Router Remote Code Execution Vulnerability
Beschreibung
CVE-2015-2051 ist eine kritische Command-Injection-Schwachstelle im D-Link DIR-645 Router mit einem CVSS-3.1-Score von 9.8 (CRITICAL). Unter CWE-77 klassifiziert, ermöglicht sie nicht authentifizierten Angreifern die Ausführung beliebiger Befehle über eine manipulierte GetDeviceSettings-Aktion an das HNAP-Interface. Das Gerät hat den End-of-Life-Status erreicht — D-Link empfiehlt die Abschaltung. Betroffen sind Firmware-Versionen vor 1.05b01. Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022 mit der ausdrücklichen Anforderung, das Gerät vom Netz zu trennen. EPSS-Score: 93,18 % (99,80. Perzentile), was auf massive Ausnutzung durch IoT-Botnets hindeutet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-645 firmware | < 1.05b01 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10051(Exploit, Vendor Advisory)
- http://www.securityfocus.com/bid/72623(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/74870(Broken Link, Third Party Advisory, VDB Entry)
- https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10282(Vendor Advisory)
- https://www.exploit-db.com/exploits/37171/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-2051(US Government Resource)
Schwachstellentyp
CWE-77: Improper Neutralization of Special Elements used in a Command
CVE-2015-2051 wird unter CWE-77 — Unzureichende Neutralisierung spezieller Elemente in einem Befehl — klassifiziert. Diese Schwäche tritt auf, wenn benutzergesteuerte Eingaben ohne ordnungsgemäße Bereinigung in Systembefehle eingebunden werden.
Im D-Link DIR-645 Router verarbeitet das HNAP-Interface (Home Network Administration Protocol) eingehende SOAP-Anfragen zur Geräteverwaltung. Der GetDeviceSettings-Action-Handler bereinigt Eingabeparameter nicht ausreichend, bevor sie an Befehlsausführungsfunktionen auf Systemebene übergeben werden. Ein Angreifer kann Shell-Befehle über HNAP-Request-Header einschleusen, die der Router mit Root-Privilegien ausführt. Dies ist bei Consumer-Netzwerkgeräten besonders gefährlich, da die Web-Verwaltungsschnittstelle häufig als Root läuft.
Auswirkungsanalyse
CVE-2015-2051 erreicht einen CVSS-3.1-Score von 9.8 (CRITICAL) mit vollständigen Auswirkungen auf den kompromittierten Router.
Vertraulichkeit (High): Befehlsausführung mit Root-Privilegien auf dem Router gewährt Zugriff auf alle Konfigurationsdaten — WLAN-Passwörter, VPN-Credentials, DNS-Einstellungen, verbundene Gerätelisten und potenziell den durchfließenden Netzwerkverkehr.
Integrität (High): Root-Level-Zugriff ermöglicht die Änderung von DNS-Einstellungen (Umleitung auf bösartige Server), Firewall-Regeln, WLAN-Credentials, persistente Firmware-Modifikationen und Einbindung in Botnet-Infrastrukturen.
Verfügbarkeit (High): Der Angreifer kann Netzwerkdienste deaktivieren, das Gerät durch Firmware-Korruption unbrauchbar machen oder Bandbreite für DDoS-Angriffe und Kryptomining verbrauchen.
Keine Authentifizierung erforderlich: Weder Privilegien (PR:N) noch Benutzerinteraktion (UI:N) sind nötig, was vollautomatisierte Angriffe ermöglicht.
IoT-Botnet-Kontext: Consumer-Router wie der DIR-645 sind primäre Ziele für IoT-Botnets. Kompromittierte Geräte werden für DDoS-Angriffe, Credential-Stuffing-Proxies und als Einstiegspunkte in Heim- und Firmennetzwerke missbraucht.
Der EPSS-Score von 93,18 % (99,80. Perzentile) bestätigt die massive automatisierte Ausnutzung.
Exploit-Reifegrad
Exploit-Status: CVE-2015-2051 weist eine hohe Exploit-Reife auf mit öffentlichen Exploits und weit verbreiteter automatisierter Ausnutzung durch IoT-Botnets.
Öffentliche Exploits: Exploit-Code auf Exploit-DB (37171) verfügbar.
IoT-Botnet-Ausnutzung: Die Schwachstelle wurde in mehrere IoT-Botnet-Frameworks integriert, die automatisiert das Internet nach verwundbaren D-Link-Routern scannen.
KEV-Eintrag: Aufnahme in den CISA-KEV-Katalog am 10. Februar 2022. Die erforderliche Maßnahme besagt ausdrücklich, dass das Produkt End-of-Life ist und abgeschaltet werden soll.
Ransomware-Bezug: Kein direkter Ransomware-Bezug laut CISA-KEV, aber kompromittierte Router können als Netzwerk-Einstiegspunkte für Angriffe auf interne Systeme dienen.
End-of-Life-Status: Der D-Link DIR-645 erhält keine weiteren Sicherheitspatches. Dieser permanente Verwundbarkeitsstatus macht alle verbleibenden Geräte zu dauerhaften Zielen.
EPSS-Kontext: 93,18 % (99,80. Perzentile) bestätigt extensive automatisierte Ausnutzung.
Behebung
-
D-Link DIR-645 Router abschalten und ersetzen. Das Gerät ist End-of-Life. CISAs Anforderung ist die Trennung vom Netzwerk. Ersetzen Sie es durch ein aktuell unterstütztes Router-Modell.
-
Firmware auf 1.05b01 aktualisieren. Falls der Router vorübergehend in Betrieb bleiben muss, aktualisieren Sie auf die neueste Firmware von D-Link Support.
-
Remote-Management und HNAP-Interface deaktivieren. Deaktivieren Sie alle von der WAN-Seite erreichbaren Verwaltungsfunktionen und das HNAP-Interface.
-
Administratorzugang auf LAN beschränken. Stellen Sie sicher, dass die Verwaltungsschnittstelle nur aus dem lokalen Netzwerk erreichbar ist.
-
Auf Kompromittierungsindikatoren prüfen. Überprüfen Sie DNS-Einstellungen, Firewall-Regeln, Bandbreitennutzung und Verbindungen zu bekannten Botnet-C2-Servern.
-
Lifecycle-Management für Netzwerkgeräte planen. Implementieren Sie eine Richtlinie zum Austausch von Netzwerkgeräten vor Erreichen des End-of-Life-Status.
Technische Details
CVE-2015-2051 ist eine Command-Injection-Schwachstelle im HNAP-Interface des D-Link DIR-645 Routers.
Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N). HTTP-Zugriff auf das HNAP-Interface, typischerweise Port 80.
Technischer Ablauf: Das HNAP-Interface verarbeitet SOAP-Anfragen zur Geräteverwaltung. Die Schwachstelle liegt in der Verarbeitung der GetDeviceSettings-Aktion. Der SOAPAction-Header wird nicht ordnungsgemäß bereinigt, bevor er in Systembefehlen verwendet wird. Ein Angreifer kann Shell-Befehle durch Befehlstrenner (Backticks, Semikolons, Pipe-Zeichen) im SOAPAction-Header-Wert einschleusen.
Root-Level-Ausführung: Der Webserver auf dem DIR-645 läuft mit Root-Privilegien, wodurch eingeschleuste Befehle als Root ausgeführt werden — vollständige Kontrolle über Firmware, Netzwerkkonfiguration und Datenverkehr.
Betroffene Firmware: D-Link DIR-645 Firmware-Versionen vor 1.05b01. Das Gerät hat End-of-Life-Status erreicht.
Angriffsfläche: Das HNAP-Interface ist häufig sowohl vom LAN als auch vom WAN erreichbar, besonders bei aktiviertem Remote-Management oder UPnP-Exposition.
Häufig gestellte Fragen
Was ist CVE-2015-2051?
CVE-2015-2051 ist eine kritische Command-Injection-Schwachstelle im HNAP-Interface des D-Link DIR-645 Routers. Sie ermöglicht nicht authentifizierten Angreifern die Ausführung beliebiger Befehle mit Root-Privilegien über manipulierte GetDeviceSettings-Anfragen. CVSS-Score: 9.8.
Wird der D-Link DIR-645 noch unterstützt?
Nein. Der D-Link DIR-645 hat den End-of-Life-Status erreicht und erhält keine Sicherheitspatches mehr. CISAs Anforderung ist die Abschaltung des Geräts. Benutzer sollten es durch ein aktuell unterstütztes Router-Modell ersetzen.
Wie behebe ich CVE-2015-2051?
Die empfohlene Maßnahme ist der Austausch des DIR-645. Falls sofortiger Austausch nicht möglich, aktualisieren Sie auf Firmware 1.05b01, deaktivieren Sie Remote-Management und HNAP-WAN-Zugriff und planen Sie den baldigen Geräteaustausch.
Wie schwerwiegend ist CVE-2015-2051?
Mit CVSS 9.8 als CRITICAL eingestuft. Der EPSS-Score von 93,18 % (99,80. Perzentile) bestätigt massive Ausnutzung durch IoT-Botnets. Der End-of-Life-Status bedeutet permanente Verwundbarkeit. Jeder mit dem Internet verbundene DIR-645 sollte als kompromittiert betrachtet werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.