CVE-2019-16920
D-Link Multiple Routers Command Injection Vulnerability
Beschreibung
CVE-2019-16920 ist eine nicht authentifizierte Command-Injection-Schwachstelle, die mehrere D-Link-Routermodelle betrifft. Der Fehler existiert in der ping_test-Funktionalität der Webverwaltungsoberfläche und ermöglicht es einem Remote-Angreifer, beliebige Betriebssystembefehle ohne Authentifizierung auszuführen. Diese Schwachstelle ist besonders gefährlich, da sie keine Anmeldedaten erfordert. Sie wurde am 25. März 2022 in den CISA-Katalog aufgenommen. Mit einem EPSS-Score von 97,4 % (99,9. Perzentil) ist eine Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-655 firmware | <= 3.02b05 |
| dlink | dir-866l firmware | <= 1.03b04 |
| dlink | dir-652 firmware | - |
| dlink | dhp-1565 firmware | <= 1.01 |
| dlink | dir-855l firmware | - |
| dlink | dap-1533 firmware | - |
| dlink | dir-862l firmware | - |
| dlink | dir-615 firmware | - |
| dlink | dir-835 firmware | - |
| dlink | dir-825 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/zeroday/FG-VD-19-117(Broken Link, Third Party Advisory)
- https://medium.com/%4080vul/determine-the-device-model-affected-by-cve-2019-16920-by-zoomeye-bf6fec7f9bb3(Exploit, Third Party Advisory)
- https://www.kb.cert.org/vuls/id/766427(Third Party Advisory, US Government Resource)
- https://www.seebug.org/vuldb/ssvid-98079(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-16920(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung spezieller Elemente in OS-Befehlen (OS Command Injection)
CVE-2019-16920 wird unter CWE-78 klassifiziert und beschreibt Schwachstellen, bei denen Benutzereingaben ohne ordnungsgemäße Bereinigung in Betriebssystembefehle eingebaut werden. Die ping_test-Funktion des D-Link-Routers validiert die Eingabeparameter nicht, wodurch Angreifer Shell-Befehle einschleusen können, die mit Root-Rechten ausgeführt werden.
Mehr erfahren: CWE-78 — Improper Neutralization of Special Elements used in an OS Command
Auswirkungsanalyse
CVE-2019-16920 ermöglicht es nicht authentifizierten Remote-Angreifern, beliebige Befehle mit Root-Rechten auf betroffenen D-Link-Routern auszuführen. Dies gewährt vollständige Kontrolle über das Gerät und ermöglicht Angreifern, den gesamten Netzwerkverkehr abzufangen und zu manipulieren, DNS-Einstellungen zu ändern, persistente Backdoors in der Router-Firmware zu installieren und das kompromittierte Gerät als Ausgangspunkt für Angriffe auf das interne Netzwerk zu nutzen. Die nicht authentifizierte Natur der Schwachstelle in Kombination mit dem netzwerkzugänglichen Angriffsvektor und der Root-Befehlsausführung macht dies zu einer der schwerwiegendsten Router-Schwachstellen.
Exploit-Reifegrad
CVE-2019-16920 wurde von CISA als aktiv ausgenutzt bestätigt. Die Exploitationstechnik ist einfach — das Senden einer manipulierten HTTP-Anfrage an den ping_test-Endpunkt mit eingeschleusten Befehlen — und erfordert keine Authentifizierung oder spezialisierten Tools. Mit einem EPSS-Score von 97,4 % (99,9. Perzentil) ist eine Ausnutzung nahezu sicher. IoT-Botnets wie Mirai-Varianten scannen aktiv nach verwundbaren D-Link-Geräten.
Behebung
- Router-Firmware aktualisieren: Prüfen und installieren Sie das neueste Firmware-Update von D-Link, das CVE-2019-16920 behebt. Wenn das Routermodell End-of-Life ist, ersetzen Sie das Gerät.
- Remote-Management deaktivieren: Deaktivieren Sie die Webverwaltungsoberfläche auf der WAN-Seite, um eine Ausnutzung aus dem Internet zu verhindern.
- Verwaltungszugriff einschränken: Falls erforderlich, beschränken Sie den Zugriff auf bestimmte vertrauenswürdige IP-Adressen mittels Zugriffskontrolllisten.
- End-of-Life-Geräte ersetzen: Wenn das betroffene D-Link-Routermodell keine Sicherheitsupdates mehr erhält, ersetzen Sie es durch ein aktuell unterstütztes Gerät.
- Netzwerkverkehr überwachen: Setzen Sie Netzwerküberwachung ein, um ungewöhnliche Verkehrsmuster vom Router zu erkennen.
Technische Details
CVE-2019-16920 ist eine nicht authentifizierte OS-Command-Injection-Schwachstelle in der Webverwaltungsoberfläche mehrerer D-Link-Routermodelle. Die Schwachstelle existiert in der ping_test-Funktionalität, die es Benutzern ermöglicht, die Netzwerkkonnektivität zu testen. Der Webserver des Routers erfordert keine Authentifizierung für diese Funktion und bereinigt den Zieladressparameter nicht, bevor er an einen OS-Ping-Befehl übergeben wird. Ein Angreifer kann zusätzliche Shell-Befehle mittels Standard-Command-Injection-Techniken wie Semikolons, Pipes oder Backticks einschleusen. Die eingeschleusten Befehle werden mit Root-Rechten auf dem eingebetteten Linux-Betriebssystem des Routers ausgeführt.
Häufig gestellte Fragen
Wird CVE-2019-16920 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung bestätigt. IoT-Botnets scannen aktiv nach verwundbaren D-Link-Routern, und der EPSS-Score von 97,4 % bestätigt die nahezu sichere Ausnutzung exponierter Geräte.
Welche Produkte sind von CVE-2019-16920 betroffen?
CVE-2019-16920 betrifft mehrere D-Link-Routermodelle, darunter DIR-655, DIR-866L, DIR-652 und DHP-1565. Prüfen Sie den D-Link-Sicherheitshinweis für eine vollständige Liste betroffener Modelle.
Wie behebe ich CVE-2019-16920?
Aktualisieren Sie auf die neueste Firmware von D-Link. Wenn Ihr Routermodell End-of-Life ist, ersetzen Sie es durch ein aktuell unterstütztes Gerät. Deaktivieren Sie den Remote-Management-Zugriff über die WAN-Schnittstelle.
Wie schwerwiegend ist CVE-2019-16920?
CVE-2019-16920 ist eine kritische Schwachstelle, die nicht authentifizierte Remote-Befehlsausführung mit Root-Rechten auf betroffenen Routern ermöglicht. Sie wird aktiv von IoT-Botnets ausgenutzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.