CVE-2020-29557
D-Link DIR-825 R1 Devices Buffer Overflow Vulnerability
Beschreibung
CVE-2020-29557 ist eine kritische Buffer-Overflow-Schwachstelle in D-Link DIR-825 R1 Geraeten mit einem CVSS-3.1-Score von 9.8. Ein Pufferueberlauf in der Web-Oberflaeche von D-Link DIR-825 R1 Geraeten bis Firmware-Version 3.0.1 ermoeglicht entfernten Angreifern eine Remote-Code-Ausfuehrung ohne vorherige Authentifizierung. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.89773 (99,57. Perzentile) belegt eine extrem hohe reale Ausnutzungsaktivitaet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-825 r1 firmware | <= 3.0.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://shaqed.github.io/dlink/(Broken Link, Exploit, Third Party Advisory)
- https://www.dlink.ru/ru/download2/5/19/2354/441/(Product)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-29557(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemaesse Einschraenkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CVE-2020-29557 wird unter CWE-119 klassifiziert — Unsachgemaesse Einschraenkung von Operationen innerhalb der Grenzen eines Speicherpuffers. Diese Schwachstelle tritt auf, wenn Software Operationen auf einem Speicherpuffer ausfuehrt, ohne die Groesse der geschriebenen oder gelesenen Daten ordnungsgemaess einzuschraenken. Wenn mehr Daten geschrieben werden, als der Puffer aufnehmen kann, wird angrenzender Speicher ueberschrieben, was zu Datenkorruption, veraendertem Kontrollfluss, Programmabstuerzen oder beliebiger Codeausfuehrung fuehren kann.
Im Kontext der D-Link DIR-825 R1 Geraete ist dieser Pufferueberlauf in der Web-Oberflaeche besonders gefaehrlich, da er Remote-Code-Ausfuehrung ohne Authentifizierung ermoeglicht. Eingebettete Netzwerkgeraete wie Consumer-Router laufen typischerweise mit erhoehten Rechten und verfuegen nicht ueber Sicherheitsmitigierungen moderner Betriebssysteme (wie ASLR, Stack-Canaries oder DEP), was Pufferueberlaeufe trivial ausnutzbar macht.
Mehr erfahren: CWE-119 — Unsachgemaesse Einschraenkung von Speicherpuffer-Operationen
Auswirkungsanalyse
CVE-2020-29557 hat einen CVSS-3.1-Score von 9.8 (KRITISCH) mit unveraendertem Scope.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewaehrt dem Angreifer vollstaendigen Zugriff auf alle Daten des Routers, einschliesslich Netzwerkkonfiguration, WLAN-Zugangsdaten, Informationen zu verbundenen Geraeten, DNS-Einstellungen und potenziell abgefangenem Netzwerkverkehr aller verbundenen Geraete.
Integritaet (HIGH): Angreifer koennen die Konfiguration, Firmware, DNS-Einstellungen und Routing-Tabellen des Routers vollstaendig modifizieren. Dies ermoeglicht Man-in-the-Middle-Angriffe, Verkehrsumleitung und Firmware-Ersetzung durch manipulierte Versionen.
Verfuegbarkeit (HIGH): Vollstaendige Stoerung der Netzwerkdienste ist moeglich, einschliesslich dem Unbrauchbarmachen des Geraets durch destruktive Firmware-Modifikationen und Denial-of-Service fuer alle verbundenen Geraete.
Scope: Der Scope ist technisch Unchanged, aber die praktische Auswirkung erstreckt sich auf alle Geraete und Benutzer, die auf den kompromittierten Router fuer Netzwerkkonnektivitaet angewiesen sind.
Mit einem EPSS-Score von 0.89773 (99,57. Perzentile) gehoert diese Schwachstelle zu den weltweit am haeufigsten ausgenutzten.
Exploit-Reifegrad
Exploit-Status: CVE-2020-29557 wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.89773 (99,57. Perzentile) bestaetigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die Ausnutzung ohne Authentifizierung und die Einfachheit von Buffer-Overflow-Exploits auf eingebetteten Geraeten senken die Huerden erheblich.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestaetigt. Kompromittierte Router werden jedoch haeufig in Botnets (wie Mirai-Varianten) fuer DDoS-Angriffe, Cryptomining und als Proxy-Infrastruktur fuer kriminelle Aktivitaeten rekrutiert.
Angriffsflaeche: D-Link DIR-825 R1 Router mit internetzugaenglichen Web-Oberflaechen sind verwundbar. Die Schwachstelle erfordert keine Authentifizierung, sodass jedes erreichbare Geraet ein sofortiges Ziel darstellt. IoT-Suchmaschinen indexieren diese Geraete routinemaessig.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen und Verbraucher sollten betroffene Geraete sofort aktualisieren oder ersetzen.
Behebung
- Firmware-Updates sofort anwenden. Aktualisieren Sie den D-Link DIR-825 R1 auf eine Firmware-Version, die nach dem 20. November 2020 veroeffentlicht wurde. Pruefen Sie die D-Link-Support-Website fuer die neueste verfuegbare Firmware.
- Bei fehlender Firmware das Geraet ersetzen. Wenn D-Link den Support fuer Ihre Hardware-Revision eingestellt hat und kein Patch verfuegbar ist, ersetzen Sie den Router durch ein aktuell unterstuetztes Modell.
- Remote-Verwaltungszugriff deaktivieren. Stellen Sie sicher, dass die Web-Verwaltungsoberflaeche des Routers nicht aus dem Internet zugaenglich ist. Deaktivieren Sie den WAN-seitigen Verwaltungszugriff.
- Netzwerksegmentierung implementieren. Wenn das Geraet nicht sofort ersetzt werden kann, platzieren Sie es hinter einer Firewall und beschraenken Sie den Zugriff auf die Verwaltungsoberflaeche.
- Auf Kompromittierungsanzeichen pruefen. Untersuchen Sie den Router auf unerwartete Konfigurationsaenderungen, unbekannte DNS-Einstellungen oder Firmware-Modifikationen.
- Auf Botnet-Aktivitaet ueberwachen. Achten Sie auf ungewoehnlichen ausgehenden Datenverkehr, der auf eine Botnet-Eingliederung hinweisen koennte.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexitaet: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: CVE-2020-29557 ist eine kritische Pufferueberlauf-Schwachstelle in D-Link DIR-825 R1 Geraeten, die ueber das Netzwerk ohne Authentifizierung ausnutzbar ist.
Schwachstellenmechanismus: Die Schwachstelle existiert in der Web-Oberflaeche der D-Link DIR-825 R1 Geraete mit Firmware bis Version 3.0.1. Die Web-Server-Komponente validiert die Laenge benutzerdefinierter Eingaben nicht ordnungsgemaess, bevor sie in einen Speicherpuffer fester Groesse kopiert werden. Durch Senden einer speziell gestalteten HTTP-Anfrage mit uebergrossen Eingaben kann ein Angreifer den Puffer ueberfluten und angrenzenden Speicher ueberschreiben, einschliesslich Ruecksprungadressen oder Funktionszeigern. Dies ermoeglicht die Umleitung der Programmausfuehrung zu angreifergesteuertem Code und damit Remote-Code-Ausfuehrung als Root.
Betroffene Produkte: D-Link DIR-825 R1 Firmware-Versionen bis einschliesslich 3.0.1.
CVSS-3.1-Bewertung: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H reflektiert einen netzwerkbasierten Angriff mit niedriger Komplexitaet ohne erforderliche Rechte oder Benutzerinteraktion und maximaler Auswirkung.
Häufig gestellte Fragen
Wird CVE-2020-29557 aktiv ausgenutzt?
Ja, CVE-2020-29557 wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet und der EPSS-Score von 0.89773 (99,57. Perzentile) bestaetigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die Ausnutzung ohne Authentifizierung macht den Angriff fuer Bedrohungsakteure unkompliziert.
Welche Produkte sind von CVE-2020-29557 betroffen?
CVE-2020-29557 betrifft D-Link DIR-825 R1 Geraete mit Firmware-Versionen bis einschliesslich 3.0.1. Pruefen Sie die Firmware-Version Ihres Geraets ueber die Web-Verwaltungsoberflaeche. D-Link veroeffentlichte nach dem 20. November 2020 ein Firmware-Update.
Wie behebe ich CVE-2020-29557?
Aktualisieren Sie die Firmware des D-Link DIR-825 R1 auf die neueste Version von der D-Link-Support-Website. Falls das Geraet End-of-Life ist und kein Patch verfuegbar ist, ersetzen Sie es durch einen aktuell unterstuetzten Router. Deaktivieren Sie als Sofortmassnahme den Remote-Verwaltungszugriff.
Wie schwerwiegend ist CVE-2020-29557?
CVE-2020-29557 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Die Schwachstelle ermoeglicht nicht-authentifizierte Remote-Code-Ausfuehrung auf dem Router und gewaehrt Angreifern volle Kontrolle ueber das Geraet und den gesamten durchgehenden Netzwerkverkehr. Der EPSS-Score von 0.89773 (99,57. Perzentile) bestaetigt dies als eine der am haeufigsten ausgenutzten Router-Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.