CVE-2018-6530
D-Link Multiple Routers OS Command Injection Vulnerability
Beschreibung
CVE-2018-6530 ist eine OS-Command-Injection-Schwachstelle, die mehrere D-Link-Router-Modelle betrifft und es entfernten Angreifern ermöglicht, beliebige Betriebssystembefehle auf dem Gerät auszuführen. Die Schwachstelle besteht aufgrund unzureichender Eingabesanitisierung in der Web-Verwaltungsoberfläche und ermöglicht nicht authentifizierte Befehlsausführung. Dies ist besonders schwerwiegend, da D-Link-Router sowohl in Verbraucher- als auch in Kleinunternehmensumgebungen weit verbreitet sind. Die CISA hat CVE-2018-6530 in ihren KEV-Katalog aufgenommen, wobei die Schwachstelle mit bekannten Ransomware-Kampagnen in Verbindung steht. Der EPSS-Score von 94,3 % (99. Perzentil) spiegelt nahezu sichere Ausnutzungsaktivität wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-860l firmware | <= 1.10b04 |
| dlink | dir-865l firmware | <= 1.08b01 |
| dlink | dir-868l firmware | <= 1.12b04 |
| dlink | dir-880l firmware | <= 1.08b04 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- ftp://FTP2.DLINK.COM/SECURITY_ADVISEMENTS/DIR-860L/REVA/DIR-860L_REVA_FIRMWARE_PATCH_NOTES_1.11B01_EN_WW.pdf(Release Notes, Vendor Advisory)
- ftp://FTP2.DLINK.COM/SECURITY_ADVISEMENTS/DIR-868L/REVA/DIR-868L_REVA_FIRMWARE_PATCH_NOTES_1.20B01_EN_WW.pdf(Release Notes, Vendor Advisory)
- ftp://ftp2.dlink.com/SECURITY_ADVISEMENTS/DIR-865L/REVA/DIR-865L_REVA_FIRMWARE_PATCH_NOTES_1.10B01_EN_WW.pdf(Release Notes, Vendor Advisory)
- ftp://ftp2.dlink.com/SECURITY_ADVISEMENTS/DIR-880L/REVA/DIR-880L_REVA_FIRMWARE_PATCH_NOTES_1.08B06_EN_WW.pdf(Release Notes, Vendor Advisory)
- https://github.com/TheBeeMan/Pwning-multiple-dlink-router-via-SOAP-proto(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-6530(US Government Resource)
Schwachstellentyp
CWE-78: OS-Befehlsinjektion
CVE-2018-6530 nutzt eine OS-Command-Injection-Schwäche in mehreren D-Link-Routern aus, bei der externe Eingaben in Betriebssystembefehle eingebettet werden, ohne dass Sonderzeichen ordnungsgemäß neutralisiert werden. Die Web-Verwaltungsoberfläche der betroffenen Router versäumt es, benutzerdefinierte Parameter zu bereinigen, wodurch ein Angreifer Shell-Metazeichen injizieren kann, die als Teil des Systembefehls ausgeführt werden.
Mehr erfahren: CWE-78 — Unzureichende Neutralisierung spezieller Elemente in OS-Befehlen
Auswirkungsanalyse
CVE-2018-6530 stellt eine kritische Bedrohung für die Netzwerk-Perimetersicherheit dar. Die Schwachstelle ist aus der Ferne ohne Authentifizierung ausnutzbar, erfordert keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer die Ausführung beliebiger OS-Befehle auf dem Router, was zur vollständigen Geräteübernahme, Manipulation von Routing- und DNS-Einstellungen, Abfangen des gesamten Netzwerkverkehrs und Installation persistenter Malware führen kann. Die bestätigte Verbindung zu Ransomware-Kampagnen erhöht das geschäftliche Risiko erheblich, da kompromittierte Router zur Verbreitung von Ransomware in verbundenen Netzwerken genutzt werden können. Mit einem EPSS-Score von 94,3 % (99. Perzentil) gehört diese Schwachstelle zu den am aktivsten angegriffenen aller bekannten CVEs.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2018-6530 bestätigt und die Schwachstelle ausdrücklich als in Ransomware-Kampagnen verwendet gekennzeichnet. Der EPSS-Score von 94,3 % (99. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin und spiegelt sowohl die Verfügbarkeit öffentlichen Exploit-Codes als auch die weite Verbreitung verwundbarer D-Link-Router wider. Die Schwachstelle ist trivial ausnutzbar durch das Senden manipulierter HTTP-Anfragen an die Web-Oberfläche des Routers. D-Link hat in einem Advisory darauf hingewiesen, dass der Fix unter CVE-2018-20114 diese Schwachstelle ordnungsgemäß behebt, jedoch haben viele betroffene Modelle ihr End-of-Life erreicht.
Behebung
- Hersteller-Patch anwenden oder End-of-Life-Geräte trennen: Gemäß der CISA-KEV-Vorgabe: Falls das Gerät noch unterstützt wird, den unter CVE-2018-20114 referenzierten Fix gemäß D-Links Advisory (SAP10105) anwenden. Falls das Gerät sein End-of-Life erreicht hat, sofort vom Netzwerk trennen und ersetzen.
- End-of-Life D-Link-Router ersetzen: Da viele betroffene Modelle keine Sicherheitsupdates mehr erhalten, ersetzen Sie diese durch aktuell unterstützte Netzwerkgeräte mit fortlaufenden Sicherheitspatches.
- Remote-Management-Interfaces deaktivieren: Falls der Router vorübergehend im Betrieb bleiben muss, deaktivieren Sie die Web-Verwaltungsoberfläche von WAN-seitigen Schnittstellen, um Remote-Ausnutzung zu verhindern.
- Netzwerkschutz implementieren: Platzieren Sie betroffene Router hinter einer Firewall, die bösartige HTTP-Anfragen filtern kann, und setzen Sie IDS/IPS-Regeln zur Erkennung von OS-Command-Injection-Versuchen ein.
- Auf Kompromittierungsindikatoren überwachen: Prüfen Sie verbundene Netzwerke auf Anzeichen unbefugten Zugriffs, unerwartete DNS-Konfigurationsänderungen oder Verkehrsanomalien, die auf eine Kompromittierung des Routers als Ausgangspunkt für Ransomware hindeuten könnten.
Technische Details
CVE-2018-6530 ist eine OS-Command-Injection-Schwachstelle in der Web-Verwaltungsoberfläche mehrerer D-Link-Router-Modelle. Die Schwachstelle besteht in der Verarbeitung von HTTP-Anfrageparametern, bei der Benutzereingaben direkt an Betriebssystem-Befehlsausführungsfunktionen (wie system() oder popen()) übergeben werden, ohne Shell-Metazeichen ordnungsgemäß zu bereinigen. Ein Angreifer kann beliebige Befehle injizieren, indem er Zeichen wie Semikolons, Pipes oder Backticks in die Anfrageparameter einbettet, die dann von der System-Shell interpretiert werden. Der Angriff erfordert keine Authentifizierung, da der verwundbare Endpunkt vor jedem Anmeldeprozess erreichbar ist. Der unter CVE-2018-20114 referenzierte Fix behebt dies durch ordnungsgemäße Eingabevalidierung und Befehlsparametrisierung.
Häufig gestellte Fragen
Wird CVE-2018-6530 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung von CVE-2018-6530 bestätigt und ausdrücklich als in Ransomware-Kampagnen verwendet identifiziert. Mit einem EPSS-Score von 94,3 % (99. Perzentil) ist die Ausnutzung bei jedem exponierten verwundbaren Gerät nahezu sicher. Sofortiges Handeln ist erforderlich.
Welche Produkte sind von CVE-2018-6530 betroffen?
CVE-2018-6530 betrifft mehrere D-Link-Router-Modelle. Viele der betroffenen Modelle haben ihr End-of-Life erreicht und erhalten keine Sicherheitsupdates mehr von D-Link. Die spezifischen betroffenen Modelle sind in D-Links Sicherheitshinweis SAP10105 aufgeführt.
Wie behebe ich CVE-2018-6530?
Für unterstützte D-Link-Router den unter CVE-2018-20114 referenzierten Patch gemäß D-Links Advisory anwenden. Für End-of-Life-Geräte empfiehlt die CISA, diese vom Netzwerk zu trennen und durch aktuell unterstützte Hardware zu ersetzen. Als Zwischenmaßnahme den Remote-Management-Zugriff deaktivieren.
Wie schwerwiegend ist CVE-2018-6530?
CVE-2018-6530 ist eine kritische OS-Command-Injection-Schwachstelle, die nicht authentifizierte Remote-Befehlsausführung ermöglicht. Der EPSS-Score von 94,3 % (99. Perzentil) und die bestätigte Verwendung in Ransomware-Kampagnen machen sie zu einer der risikoreichsten Schwachstellen für exponierte Netzwerkgeräte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.