CVE-2019-17621
D-Link DIR-859 Router Command Execution Vulnerability
Beschreibung
CVE-2019-17621 ist eine kritische OS-Command-Injection-Schwachstelle im D-Link DIR-859 WLAN-Router sowie in zahlreichen weiteren D-Link Routermodellen. Die Schwachstelle befindet sich im UPnP-Endpunkt /gena.cgi und ermöglicht es einem nicht authentifizierten Angreifer, über speziell präparierte HTTP-SUBSCRIBE-Anfragen beliebige Systembefehle mit Root-Rechten auszuführen. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,0 % besteht eine nahezu sichere Ausnutzungswahrscheinlichkeit. Die CISA hat CVE-2019-17621 in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung dieser D-Link-Sicherheitslücke in der Praxis.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-859 firmware | <= 1.05b03; 1.06b01 |
| dlink | dir-822 firmware | <= 2.03b01; <= 3.12b04 |
| dlink | dir-823 firmware | <= 1.00b06; 1.00b06 |
| dlink | dir-865l firmware | <= 1.07b01 |
| dlink | dir-868l firmware | <= 1.12b04; <= 2.05b02 |
| dlink | dir-869 firmware | <= 1.03b02; 1.03b02 |
| dlink | dir-880l firmware | <= 1.08b04 |
| dlink | dir-890l firmware | <= 1.11b01; 1.11b01 |
| dlink | dir-890r firmware | <= 1.11b01; 1.11b01 |
| dlink | dir-885l firmware | <= 1.12b05 |
| dlink | dir-885r firmware | <= 1.12b05 |
| dlink | dir-895l firmware | <= 1.12b10 |
| dlink | dir-895r firmware | <= 1.12b10 |
| dlink | dir-818lx firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156054/D-Link-DIR-859-Unauthenticated-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://medium.com/%40s1kr10s/d-link-dir-859-rce-unautenticated-cve-2019-17621-en-d94b47a15104(Exploit, Third Party Advisory)
- https://medium.com/%40s1kr10s/d-link-dir-859-rce-unautenticated-cve-2019-17621-es-fad716629ff9(Broken Link)
- https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10146(Patch, Vendor Advisory)
- https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10147(Patch, Vendor Advisory)
- https://www.dlink.com/en/security-bulletin(Vendor Advisory)
- https://www.ftc.gov/system/files/documents/cases/dlink_proposed_order_and_judgment_7-2-19.pdf(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-17621(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Bei CVE-2019-17621 werden Benutzereingaben im UPnP-Dienst des D-Link DIR-859 Routers nicht ordnungsgemäß bereinigt, bevor sie an das Betriebssystem zur Befehlsausführung weitergegeben werden. Dies ermöglicht es Angreifern, über den /gena.cgi-Endpunkt Shell-Metazeichen einzuschleusen und beliebige Befehle als Root auszuführen.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2019-17621 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und die Ausnutzung ist einfach, da keine besonderen Bedingungen erfüllt sein müssen. Privilegien (Keine erforderlich): Es wird keine Authentifizierung benötigt, was diese Schwachstelle besonders gefährlich macht. Benutzerinteraktion (Keine): Ein Angriff kann vollständig automatisiert erfolgen, ohne dass ein Benutzer aktiv werden muss. Vertraulichkeit (Hoch): Ein Angreifer erhält durch Root-Zugang vollständigen Einblick in alle auf dem Router gespeicherten Daten, einschließlich WLAN-Schlüssel, VPN-Konfigurationen und Netzwerkverkehr. Integrität (Hoch): Beliebige Systembefehle können ausgeführt werden, was die vollständige Manipulation der Routerkonfiguration und des Netzwerkverkehrs ermöglicht. Verfügbarkeit (Hoch): Der Angreifer kann den Router außer Betrieb setzen oder als Ausgangspunkt für weitere Angriffe im Netzwerk nutzen. Mit einem EPSS-Score von 93,0 % ist die Wahrscheinlichkeit einer aktiven Ausnutzung nahezu sicher.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2019-17621 über Packet Storm Security sowie über eine detaillierte technische Analyse auf Medium. Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, mit einer Behebungsfrist bis zum 20. Juli 2023, was die aktive Ausnutzung in der Praxis bestätigt. Der EPSS-Score von 93,0 % (Perzentil 99,8 %) weist auf eine nahezu sichere Ausnutzung hin und unterstreicht die Dringlichkeit sofortiger Maßnahmen. Ein Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt.
Behebung
- Gemäß CISA-Anweisung: Wenden Sie die vom Hersteller bereitgestellten Patches an oder stellen Sie die Nutzung des betroffenen Produkts ein, falls keine Patches verfügbar sind. D-Link stellt Sicherheitshinweise unter SAP10146 und SAP10147 bereit.
- Aktualisieren Sie die Firmware der betroffenen D-Link Router (DIR-859, DIR-822, DIR-823, DIR-865L, DIR-868L, DIR-869, DIR-880L, DIR-890L/R, DIR-885L/R, DIR-895L/R, DIR-818LX) auf die neueste verfügbare Version. Prüfen Sie die D-Link Support-Seite für modellspezifische Firmware-Updates.
- Deaktivieren Sie den UPnP-Dienst auf allen betroffenen Routern, um den anfälligen /gena.cgi-Endpunkt zu eliminieren. Beschränken Sie den Zugriff auf die Router-Verwaltungsoberfläche auf vertrauenswürdige IP-Adressen und deaktivieren Sie die Fernverwaltung.
- Überwachen Sie Netzwerkprotokolle auf verdächtige HTTP-SUBSCRIBE-Anfragen an den UPnP-Endpunkt /gena.cgi. Prüfen Sie betroffene Geräte auf Anzeichen einer Kompromittierung, insbesondere auf unautorisierte Konfigurationsänderungen oder unbekannte Prozesse.
- Erwägen Sie langfristig den Austausch von End-of-Life D-Link Routermodellen durch aktiv unterstützte Geräte und implementieren Sie eine Netzwerksegmentierung, um IoT-Geräte vom Unternehmensnetzwerk zu isolieren.
Technische Details
CVE-2019-17621 ist eine OS-Command-Injection-Schwachstelle (CWE-78) im UPnP-Dienst des D-Link DIR-859 WLAN-Routers. Der anfällige Endpunkt /gena.cgi verarbeitet HTTP-SUBSCRIBE-Anfragen des UPnP-Dienstes, wobei Benutzereingaben nicht ordnungsgemäß auf Shell-Metazeichen geprüft werden, bevor sie an das Betriebssystem übergeben werden. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) verdeutlicht, dass die Schwachstelle über das Netzwerk ohne Authentifizierung und ohne besondere Bedingungen ausnutzbar ist. Ein Angreifer, der sich im lokalen Netzwerk befindet, kann durch eine speziell gestaltete SUBSCRIBE-Anfrage beliebige Systembefehle mit Root-Rechten injizieren und ausführen. Neben dem DIR-859 (Firmware 1.05 und 1.06B01 Beta01) sind zahlreiche weitere D-Link Modelle betroffen, darunter DIR-822, DIR-823, DIR-865L, DIR-868L, DIR-869, DIR-880L, DIR-890L/R, DIR-885L/R, DIR-895L/R und DIR-818LX.
Häufig gestellte Fragen
Wird CVE-2019-17621 aktiv ausgenutzt?
Ja, die CISA hat CVE-2019-17621 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 93,0 % (Perzentil 99,8 %) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2019-17621 betroffen?
Betroffen sind zahlreiche D-Link Router-Modelle: DIR-859, DIR-822, DIR-823, DIR-865L, DIR-868L, DIR-869, DIR-880L, DIR-890L, DIR-890R, DIR-885L, DIR-885R, DIR-895L, DIR-895R und DIR-818LX. Die Schwachstelle wurde ursprünglich in der DIR-859 Firmware Version 1.05 und 1.06B01 Beta01 entdeckt.
Wie behebe ich CVE-2019-17621?
Aktualisieren Sie die Firmware aller betroffenen D-Link Router auf die neueste Version und deaktivieren Sie den UPnP-Dienst. D-Link stellt Sicherheitspatches über die Support-Seiten SAP10146 und SAP10147 bereit. Falls keine Firmware-Updates verfügbar sind, sollten betroffene Geräte außer Betrieb genommen werden.
Wie schwerwiegend ist CVE-2019-17621?
CVE-2019-17621 hat den höchsten CVSS-Score von 9.8 (CRITICAL) nach CVSS v3.1 und ermöglicht die unauthentifizierte Ausführung beliebiger Befehle mit Root-Rechten. Mit einem EPSS-Perzentil von 99,8 % gehört diese Schwachstelle zu den am häufigsten ausgenutzten Sicherheitslücken überhaupt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.