CVE-2019-20500
D-Link DWL-2600AP Access Point Command Injection Vulnerability
Beschreibung
CVE-2019-20500 ist eine OS-Command-Injection-Schwachstelle im D-Link DWL-2600AP Access Point mit Firmware-Version 4.2.0.15 Rev A. Die Sicherheitslücke befindet sich in der Funktion zum Speichern der Konfiguration über die Weboberfläche und ermöglicht es einem authentifizierten Angreifer, durch Einschleusen von Shell-Metazeichen in die Parameter configBackup oder downloadServerip des admin.cgi-Skripts beliebige Betriebssystembefehle auszuführen. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 92,2 % besteht eine sehr hohe Ausnutzungswahrscheinlichkeit. Die CISA hat CVE-2019-20500 in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung dieser D-Link-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dwl-2600ap firmware | <= 4.2.0.15 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10113(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/46841(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-20500(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Bei CVE-2019-20500 werden Benutzereingaben in der Konfigurationsspeicher-Funktion des D-Link DWL-2600AP nicht ordnungsgemäß bereinigt, bevor sie an das Betriebssystem weitergegeben werden. Shell-Metazeichen in den Parametern configBackup und downloadServerip des admin.cgi-Skripts werden nicht gefiltert, wodurch ein authentifizierter Angreifer beliebige Systembefehle injizieren kann.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2019-20500 erfordert lokalen Zugang zum Gerät, wobei die Ausnutzung einfach ist und keine besonderen Bedingungen erfüllt sein müssen. Privilegien (Niedrig): Eine Authentifizierung an der Weboberfläche des DWL-2600AP ist erforderlich, was die Angriffsfläche einschränkt, jedoch in Umgebungen mit schwachen oder standardmäßigen Zugangsdaten leicht überwunden werden kann. Benutzerinteraktion (Keine): Nach der Authentifizierung kann der Angriff ohne weitere Benutzeraktionen durchgeführt werden. Vertraulichkeit (Hoch): Durch die Ausführung beliebiger Betriebssystembefehle kann ein Angreifer auf alle gespeicherten Konfigurationsdaten, WLAN-Schlüssel und Netzwerkinformationen zugreifen. Integrität (Hoch): Die vollständige Kontrolle über das Betriebssystem ermöglicht die Manipulation der Gerätekonfiguration und des Netzwerkverkehrs. Verfügbarkeit (Hoch): Der Access Point kann durch den Angreifer kompromittiert oder außer Betrieb gesetzt werden. Mit einem EPSS-Score von 92,2 % ist die Wahrscheinlichkeit einer aktiven Ausnutzung nahezu sicher, was trotz der erforderlichen Authentifizierung auf breite Ausnutzung hinweist.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2019-20500 über die Exploit Database. Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, mit einer Behebungsfrist bis zum 20. Juli 2023, was die aktive Ausnutzung in der Praxis bestätigt. Der EPSS-Score von 92,2 % (Perzentil 99,7 %) weist auf eine nahezu sichere Ausnutzung hin und macht sofortige Gegenmaßnahmen erforderlich. Ein Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt.
Behebung
- Gemäß CISA-Anweisung: Wenden Sie die vom Hersteller bereitgestellten Patches an oder stellen Sie die Nutzung des betroffenen Produkts ein, falls keine Patches verfügbar sind. D-Link stellt einen Sicherheitshinweis unter SAP10113 bereit.
- Aktualisieren Sie die Firmware des D-Link DWL-2600AP auf eine Version, die neuer als 4.2.0.15 Rev A ist. Prüfen Sie die D-Link Support-Seite auf verfügbare Firmware-Updates für dieses Modell.
- Beschränken Sie den Zugriff auf die Webverwaltungsoberfläche des DWL-2600AP auf vertrauenswürdige Administratoren und IP-Adressen. Ändern Sie Standardpasswörter und verwenden Sie starke, einzigartige Zugangsdaten. Implementieren Sie Eingabevalidierung auf Netzwerkebene durch eine vorgeschaltete Web Application Firewall (WAF), die Shell-Metazeichen in HTTP-Parametern filtert.
- Überwachen Sie die Zugriffsprotokolle des DWL-2600AP auf verdächtige Anfragen an admin.cgi, insbesondere auf Anfragen mit ungewöhnlichen Zeichen in den Parametern configBackup und downloadServerip. Prüfen Sie das Gerät auf Anzeichen einer Kompromittierung.
- Erwägen Sie langfristig den Austausch des DWL-2600AP durch einen aktiv unterstützten Access Point und implementieren Sie eine Netzwerksegmentierung, um Verwaltungsschnittstellen von Netzwerkgeräten in einem separaten Management-VLAN zu isolieren.
Technische Details
CVE-2019-20500 ist eine OS-Command-Injection-Schwachstelle (CWE-78) in der Weboberfläche des D-Link DWL-2600AP Access Points. Die Schwachstelle befindet sich in der Konfigurationsspeicher-Funktion, die über admin.cgi?action=config_save erreichbar ist, wobei die Parameter configBackup und downloadServerip nicht auf Shell-Metazeichen geprüft werden. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff lokalen Zugang erfordert, jedoch mit geringer Komplexität und nur niedrigen Privilegien durchführbar ist. Ein authentifizierter Benutzer kann durch Einfügen von Shell-Sonderzeichen (wie Semikolon, Pipe oder Backticks) in die genannten Parameter beliebige Betriebssystembefehle auf dem zugrunde liegenden System ausführen. Die betroffene Firmware-Version ist 4.2.0.15 Rev A des D-Link DWL-2600AP.
Häufig gestellte Fragen
Wird CVE-2019-20500 aktiv ausgenutzt?
Ja, die CISA hat CVE-2019-20500 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 92,2 % (Perzentil 99,7 %) weist auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2019-20500 betroffen?
Betroffen ist der D-Link DWL-2600AP Access Point mit Firmware-Version 4.2.0.15 Rev A. Die Schwachstelle befindet sich in der Weboberfläche des Geräts, konkret in der Funktion zum Speichern der Konfiguration über das admin.cgi-Skript.
Wie behebe ich CVE-2019-20500?
Aktualisieren Sie die Firmware des D-Link DWL-2600AP auf die neueste verfügbare Version. D-Link stellt Informationen und Patches unter SAP10113 bereit. Falls keine Firmware-Updates verfügbar sind, beschränken Sie den Zugriff auf die Verwaltungsoberfläche und erwägen Sie den Austausch des Geräts.
Wie schwerwiegend ist CVE-2019-20500?
CVE-2019-20500 hat einen CVSS-Score von 7.8 (HIGH) nach CVSS v3.1. Die Schwachstelle ermöglicht einem authentifizierten Angreifer die Ausführung beliebiger Betriebssystembefehle. Mit einem EPSS-Perzentil von 99,7 % gehört diese Schwachstelle zu den am häufigsten ausgenutzten Sicherheitslücken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.