CVE-2019-16057
D-Link DNS-320 Remote Code Execution Vulnerability
Beschreibung
CVE-2019-16057 ist eine Remote-Code-Execution-Schwachstelle im D-Link DNS-320-Speichergerät, insbesondere im Skript login_mgr.cgi. Diese kritische Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, beliebige Befehle auf dem Gerät auszuführen und vollständige Kontrolle über das NAS-Speichersystem und alle darauf gespeicherten Daten zu erlangen. Das D-Link DNS-320 ist ein End-of-Life-Produkt, das keine Firmware-Updates mehr erhalten wird, wodurch diese Schwachstelle permanent ungepatcht bleibt. Die CISA hat CVE-2019-16057 in den KEV-Katalog aufgenommen und fordert die Trennung des Geräts vom Netzwerk, falls es noch in Betrieb ist. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, und das EPSS-Perzentil von etwa 99,85 % weist auf nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dns-320 firmware | <= 2.05.b10 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://blog.cystack.net/d-link-dns-320-rce/(Exploit, Third Party Advisory)
- https://www.ftc.gov/system/files/documents/cases/dlink_proposed_order_and_judgment_7-2-19.pdf(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-16057(US Government Resource)
Schwachstellentyp
Remote Code Execution im D-Link DNS-320
Die Schwachstelle im login_mgr.cgi-Skript des D-Link DNS-320 ermöglicht es einem nicht authentifizierten entfernten Angreifer, beliebige Betriebssystembefehle auf dem Speichergerät auszuführen. Das CGI-Skript versäumt es, Benutzereingaben vor der Verarbeitung ordnungsgemäß zu validieren oder zu bereinigen, was Command Injection ermöglicht und dem Angreifer vollständige Kontrolle über das Betriebssystem des Geräts gewährt.
Mehr erfahren: CWE-78 — Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Auswirkungsanalyse
CVE-2019-16057 ist über das Netzwerk aus der Ferne ohne jegliche Authentifizierung oder Benutzerinteraktion ausnutzbar, was sie trivial durch automatisierte Scanning-Tools und Botnets ausnutzbar macht. Die Remote-Code-Execution über das login_mgr.cgi-Skript gibt dem Angreifer vollständige Kontrolle über das D-Link DNS-320 NAS-Gerät und gefährdet die Vertraulichkeit aller gespeicherten Daten, einschließlich Dokumenten, Backups und Mediendateien. Die Integrität des Speichersystems ist vollständig untergraben, da Angreifer Daten modifizieren, verschlüsseln oder löschen können, und die Verfügbarkeit ist angesichts der bestätigten Nutzung dieser Schwachstelle in Ransomware-Kampagnen kritisch gefährdet. Das EPSS-Perzentil von etwa 99,85 % weist auf nahezu sichere Ausnutzungsaktivität hin, und der End-of-Life-Status des D-Link DNS-320 bedeutet, dass keine Firmware-Patches veröffentlicht werden, wodurch die Schwachstelle auf jedem noch am Netzwerk angeschlossenen Gerät permanent ausnutzbar bleibt.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2019-16057 bestätigt, indem sie die Schwachstelle in den KEV-Katalog aufgenommen hat. Die geforderte Maßnahme lautet: „The impacted product is end-of-life and should be disconnected if still in use.“ Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was darauf hinweist, dass kriminelle Gruppen D-Link DNS-320-Geräte aktiv angreifen, um gespeicherte Daten zur Erpressung zu verschlüsseln. Das EPSS-Perzentil von etwa 99,85 % deutet auf nahezu sichere Ausnutzungsaktivität hin. Die Kombination aus trivialer Ausnutzung, Ransomware-Verbindung und fehlenden Patches macht CVE-2019-16057 zu einer äußerst hochriskanten Schwachstelle.
Behebung
-
D-Link DNS-320-Geräte sofort vom Netzwerk trennen, wie von der CISA gefordert: „The impacted product is end-of-life and should be disconnected if still in use.“ Da kein Firmware-Update veröffentlicht wird, ist die einzige wirksame Behebung die Entfernung des Geräts aus jedem Netzwerk.
-
Daten auf eine unterstützte Speicherlösung migrieren, bevor das DNS-320 getrennt wird. Übertragen Sie alle Daten auf ein aktuelles, aktiv gepflegtes NAS-Gerät oder eine Cloud-Speicherplattform, die regelmäßige Sicherheitsupdates erhält.
-
Falls eine sofortige Trennung nicht möglich ist, isolieren Sie das DNS-320 in einem dedizierten VLAN ohne Internetzugang und mit strikten Firewall-Regeln, die eingehende Verbindungen von nicht vertrauenswürdigen Netzwerken verhindern. Blockieren Sie allen externen Zugriff auf den login_mgr.cgi-Endpunkt.
-
Auf Indikatoren einer Ransomware-Kompromittierung scannen, bevor Daten vom DNS-320 migriert werden. Prüfen Sie auf verschlüsselte Dateien, Lösegeldforderungen, nicht autorisierte Dateimodifikationen und Anzeichen dafür, dass das Gerät bereits kompromittiert wurde.
-
Alle End-of-Life-Netzwerkgeräte inventarisieren und einen Lifecycle-Management-Prozess etablieren, um sicherzustellen, dass Geräte ersetzt werden, bevor sie den End-of-Life-Status erreichen. D-Link DNS-320-Geräte sollten angesichts der aktiven Ransomware-Ausnutzung für sofortigen Ersatz priorisiert werden.
Technische Details
CVE-2019-16057 ist eine Remote-Code-Execution-Schwachstelle im login_mgr.cgi-Skript des D-Link DNS-320 NAS-Speichergeräts. Die Schwachstelle ermöglicht es einem nicht authentifizierten entfernten Angreifer, beliebige Betriebssystembefehle über die Verarbeitung von HTTP-Anfrageparametern durch das CGI-Skript einzuschleusen und auszuführen. Das login_mgr.cgi-Skript versäumt es, Benutzereingaben ordnungsgemäß zu bereinigen, bevor sie in systemnahe Operationen eingebunden werden, was Command Injection über speziell präparierte HTTP-Anfragen ermöglicht. Der Angriff erfordert keine Authentifizierung, keine Benutzerinteraktion und kann mit einer einzelnen HTTP-Anfrage ausgeführt werden, was sofortige Befehlsausführung auf dem Linux-basierten Betriebssystem des Geräts ermöglicht. Als End-of-Life-Produkt wird das D-Link DNS-320 keinen Firmware-Patch erhalten.
Häufig gestellte Fragen
Wird CVE-2019-16057 aktiv ausgenutzt?
Ja, CVE-2019-16057 wird aktiv ausgenutzt, auch in Ransomware-Kampagnen. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und empfiehlt die Trennung des Geräts vom Netzwerk, da es End-of-Life ist. Das EPSS-Perzentil von etwa 99,85 % bestätigt nahezu sichere Ausnutzung.
Welche Produkte sind von CVE-2019-16057 betroffen?
CVE-2019-16057 betrifft das D-Link DNS-320-Speichergerät. Dieses Produkt hat das End-of-Life erreicht und wird keine Firmware-Updates mehr erhalten. Jedes DNS-320-Gerät, das noch mit einem Netzwerk verbunden ist, bleibt permanent verwundbar.
Wie behebe ich CVE-2019-16057?
Das D-Link DNS-320 ist End-of-Life und wird nicht gepatcht. Die geforderte Maßnahme der CISA ist die Trennung des Geräts. Migrieren Sie alle Daten auf eine unterstützte Speicherlösung und entfernen Sie das DNS-320 sofort aus Ihrem Netzwerk.
Wie schwerwiegend ist CVE-2019-16057?
CVE-2019-16057 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Perzentil von etwa 99,85 % und bestätigter Nutzung in Ransomware-Angriffen. Die Remote-Code-Execution erfordert keine Authentifizierung, und das Gerät wird niemals gepatcht, was die Trennung vom Netzwerk zur einzigen wirksamen Behebung macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.