CVE-2021-45382
D-Link Multiple Routers Remote Code Execution Vulnerability
Beschreibung
CVE-2021-45382 ist eine Remote-Code-Execution-Schwachstelle in mehreren D-Link-Routermodellen, die es nicht authentifizierten Angreifern ermöglicht, über die DDNS-Funktion im ncc2-Binary beliebige Befehle auszuführen. Die Schwachstelle kann ohne Authentifizierung remote über das Netzwerk ausgenutzt werden und gibt Angreifern vollständige Kontrolle über betroffene Router. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 97,3 % (99,9. Perzentil) wird diese Schwachstelle umfassend von Botnet-Betreibern und Bedrohungsakteuren angegriffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dir-820l firmware | - |
| dlink | dir-820lw firmware | - |
| dlink | dir-826l firmware | - |
| dlink | dir-830l firmware | - |
| dlink | dir-836l firmware | - |
| dlink | dir-810l firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/doudoudedi/D-LINK_Command_Injection1/blob/main/D-LINK_Command_injection.md(Exploit, Third Party Advisory)
- https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10264(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-45382(US Government Resource)
Schwachstellentyp
CWE-78: Unzureichende Neutralisierung spezieller Elemente in OS-Befehlen ('OS Command Injection')
OS Command Injection tritt auf, wenn eine Anwendung Systembefehle unter Verwendung nicht bereinigter Benutzereingaben erstellt, wodurch Angreifer beliebige Betriebssystembefehle einschleusen und ausführen können. Bei CVE-2021-45382 versäumt die DDNS-Funktion im ncc2-Binary von D-Link die Bereinigung von Eingabeparametern, was Remote-Befehlsausführung auf dem Router ermöglicht. Weitere Details unter CWE-78.
Auswirkungsanalyse
Die Ausnutzung dieser Schwachstelle verschafft Angreifern vollständige Kontrolle über betroffene D-Link-Router, wodurch sie den gesamten durch das Gerät fließenden Netzwerkverkehr abfangen, modifizieren oder umleiten können. Dies positioniert den Angreifer für Man-in-the-Middle-Angriffe, Credential-Harvesting, DNS-Hijacking und die Nutzung des Routers als Ausgangspunkt für Angriffe gegen interne Netzwerkgeräte. Kompromittierte Router werden häufig in Botnets für DDoS-Angriffe, Spam-Verteilung oder Kryptomining eingebunden. Da diese Router oft als Netzwerkperimeter für Heimnetzwerke und kleine Unternehmen dienen, eliminiert ihre Kompromittierung effektiv die primäre Sicherheitsgrenze.
Exploit-Reifegrad
CVE-2021-45382 wurde am 4. April 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Der EPSS-Score von 97,3 % (99,9. Perzentil) deutet auf extrem weit verbreitete Ausnutzung hin. Öffentlich verfügbarer Exploit-Code macht diese Schwachstelle durch einfache HTTP-Anfragen trivial ausnutzbar. Die betroffenen D-Link-Routermodelle sind End-of-Life-Produkte, die keine Firmware-Updates mehr erhalten, was dies zu einer permanenten Schwachstelle für noch betriebene Geräte macht. IoT-Botnets einschließlich Mirai-Varianten scannen aktiv nach und nutzen diese Schwachstelle aus.
Behebung
- Ersetzen Sie betroffene D-Link-Routermodelle durch unterstützte Geräte, die Sicherheitsupdates erhalten, da die betroffenen Modelle End-of-Life sind und nicht gepatcht werden. Dies ist die primäre von CISA empfohlene Behebung.
- Falls ein sofortiger Austausch nicht möglich ist, deaktivieren Sie den Remote-Management-Zugriff und beschränken Sie die DDNS-Funktionalität auf betroffenen Routern.
- Platzieren Sie betroffene Router hinter einer separaten Firewall, die eingehenden Zugriff auf die Management-Oberfläche des Routers blockiert.
- Überwachen Sie den Netzwerkverkehr von betroffenen Geräten auf Kompromittierungsanzeichen, einschließlich unerwarteter ausgehender Verbindungen oder DNS-Auflösungsänderungen.
- Segmentieren Sie Netzwerke, um die Auswirkung eines kompromittierten Routers auf andere Netzwerkressourcen zu minimieren.
Technische Details
Die Schwachstelle existiert im ncc2-Binary auf betroffenen D-Link-Routern, speziell im DDNS-Konfigurationshandler (Dynamic DNS). Bei der Verarbeitung von DDNS-bezogenen Parametern aus HTTP-Anfragen übergibt das ncc2-Binary benutzergesteuerte Eingaben direkt an system() oder ähnliche Befehlsausführungsfunktionen ohne ordnungsgemäße Bereinigung. Ein Angreifer kann Shell-Metazeichen und zusätzliche Befehle in die DDNS-Konfigurationsparameter durch gestaltete HTTP-Anfragen an die Weboberfläche des Routers einschleusen. Die eingeschleusten Befehle werden mit Root-Privilegien auf dem eingebetteten Linux-Betriebssystem des Routers ausgeführt. Der Angriff erfordert in betroffenen Konfigurationen keine Authentifizierung, wodurch er von jedem Angreifer mit Netzwerkzugriff auf die Management-Oberfläche des Routers ausnutzbar ist.
Häufig gestellte Fragen
Was ist CVE-2021-45382?
CVE-2021-45382 ist eine Remote-Code-Execution-Schwachstelle in der DDNS-Funktion mehrerer D-Link-Routermodelle. Sie ermöglicht es nicht authentifizierten Angreifern, beliebige Befehle auf dem Router über das ncc2-Binary auszuführen, indem sie Befehle über HTTP-Anfragen einschleusen.
Welche D-Link-Modelle sind betroffen?
Die Schwachstelle betrifft mehrere D-Link-Routermodelle, darunter DIR-810L, DIR-820L/LW, DIR-826L, DIR-830L und DIR-836L. Alle betroffenen Modelle sind End-of-Life-Produkte, die D-Link eingestellt hat und die keine Firmware-Updates mehr erhalten werden.
Wird D-Link einen Patch für diese Schwachstelle veröffentlichen?
Nein. D-Link hat bestätigt, dass die betroffenen Routermodelle End-of-Life sind und keine Firmware-Updates erhalten werden. Die einzige vollständige Behebung ist der Austausch der betroffenen Geräte durch aktuell unterstützte Routermodelle.
Wie kann ich mein Netzwerk schützen, wenn ich den Router nicht sofort ersetzen kann?
Deaktivieren Sie den Remote-Management-Zugriff, um eine Ausnutzung aus dem Internet zu verhindern, beschränken Sie den Zugriff auf die Weboberfläche des Routers auf bestimmte vertrauenswürdige Geräte, deaktivieren Sie die DDNS-Funktion, wenn sie nicht benötigt wird, und planen Sie den Geräteaustausch so bald wie möglich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.