CVE-2022-37055
D-Link Routers Buffer Overflow Vulnerability
Beschreibung
CVE-2022-37055 ist eine kritische Buffer-Overflow-Schwachstelle in D-Link Go-RT-AC750 Routern, die mit einem CVSS-Score von 9.8 (CRITICAL) bewertet wurde. Die Schwachstelle befindet sich in den Komponenten cgibin und hnap_main und ermoeglicht es einem nicht authentifizierten Angreifer, ueber das Netzwerk beliebigen Code auszufuehren oder das Geraet zum Absturz zu bringen. Die CISA hat diese aeltere Schwachstelle (erstmals 2022 veroeffentlicht) in ihren KEV-Katalog aufgenommen, mit einer Frist bis zum 29. Dezember 2025. Der EPSS-Score ist mit 0.69755 (98.6. Perzentil) aussergewoehnlich hoch und signalisiert massive aktive Ausnutzung. Betroffen sind die Firmware-Versionen 1.01b03 (Revision A) und 2.00b02 (Revision B) des D-Link Go-RT-AC750.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | go-rt-ac750 firmware | 2.00b02; 1.01b03 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://drive.google.com/file/d/1hmIk0jQoex4QDyjIUg_6yxi-J6ROCh8S/view?usp=sharing(Exploit, Patch, Third Party Advisory)
- https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10308(Vendor Advisory)
- https://www.dlink.com/en/security-bulletin/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-37055(US Government Resource)
- https://www.fortiguard.com/outbreak-alert/d-link-multiple-devices-attack(Third Party Advisory)
Schwachstellentyp
CWE-120: Buffer Copy without Checking Size of Input (Classic Buffer Overflow)
Die zugrunde liegende Schwaeche wird als CWE-120 (Classic Buffer Overflow) klassifiziert. Dieser Schwachstellentyp beschreibt Faelle, in denen ein Programm Daten in einen Puffer kopiert, ohne die Groesse der Eingabedaten gegen die Kapazitaet des Zielpuffers zu pruefen. Bei CVE-2022-37055 verarbeiten die cgibin- und hnap_main-Komponenten des D-Link-Routers Benutzereingaben, ohne deren Laenge ausreichend zu validieren. Ueberlange Eingaben ueberschreiben angrenzende Speicherbereiche, was zur Manipulation der Programmausfuehrung und zur Ausfuehrung eingeschleusten Codes fuehrt. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2022-37055 sind maximal kritisch und betreffen die gesamte Netzwerksicherheit der betroffenen Umgebung. Vertraulichkeit: Ein Angreifer kann durch die vollstaendige Kontrolle ueber den Router saemtlichen durchlaufenden Netzwerkverkehr abfangen, einschliesslich unverschluesselter Passwoerter, E-Mails und persoenlicher Daten (C:H). Integritaet: Die Moeglichkeit zur Code-Ausfuehrung auf dem Router ermoeglicht die Manipulation von DNS-Eintraegen, die Umleitung von Netzwerkverkehr und die Einschleusung schaedlicher Inhalte in unverschluesselte Verbindungen (I:H). Verfuegbarkeit: Der Router kann lahmgelegt oder als Ausgangspunkt fuer DDoS-Angriffe missbraucht werden, was den gesamten Netzwerkzugang unterbricht (A:H). Der EPSS-Score von 0.69755 im 98.6. Perzentil zeigt, dass diese Schwachstelle zu den am haeufigsten ausgenutzten weltweit gehoert, was auf grosse Botnet-Kampagnen hindeutet. Die Ransomware-Verwertung wird als unbekannt eingestuft, wobei kompromittierte Router haeufig in Botnetze eingebunden werden.
Exploit-Reifegrad
CVE-2022-37055 wird massiv und breitflaechig ausgenutzt. Der EPSS-Score von 0.69755 im 98.6. Perzentil gehoert zu den hoechsten weltweit und zeigt, dass ungepatchte Geraete systematisch angegriffen werden. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 29. Dezember 2025. FortiGuard hat einen Outbreak Alert zu Angriffen auf D-Link-Geraete veroeffentlicht, der die grossflaechige Ausnutzung dokumentiert. Die Schwachstelle erfordert keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N), was sie ideal fuer automatisierte Botnet-Infektionen macht. Wichtig: D-Link hat den Go-RT-AC750 als End-of-Life (EOL) deklariert, es wird daher kein Patch bereitgestellt. Die Ransomware-Assoziation ist unbekannt, aber kompromittierte Router werden haeufig in IoT-Botnetze wie Mirai-Varianten eingebunden.
Behebung
-
Geraet ausser Betrieb nehmen und ersetzen: D-Link hat den Go-RT-AC750 als End-of-Life deklariert. Es werden keine Sicherheitsupdates mehr bereitgestellt. Der Router sollte umgehend durch ein aktuell unterstuetztes Modell ersetzt werden.
-
D-Link Security Bulletin pruefen: Lesen Sie die D-Link Sicherheitsmitteilungen und das D-Link Security Bulletin fuer weitere Informationen zu betroffenen Produkten.
-
Falls sofortiger Austausch nicht moeglich: Schraenken Sie den Zugriff auf die Management-Interfaces (cgibin, hnap_main) des Routers maximal ein. Deaktivieren Sie den WAN-seitigen Administrationszugang vollstaendig.
-
Netzwerksegmentierung implementieren: Isolieren Sie den betroffenen Router in einem eigenen Netzwerksegment, um die Auswirkungen einer Kompromittierung zu begrenzen.
-
Monitoring einrichten: Ueberwachen Sie den Netzwerkverkehr des Routers auf verdaechtige Aktivitaeten, insbesondere auf Verbindungen zu bekannten Botnet-Command-and-Control-Servern.
Technische Details
CVE-2022-37055 betrifft den D-Link Go-RT-AC750 in den Firmware-Versionen 1.01b03 (Revision A) und 2.00b02 (Revision B). Der CVSS:3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine maximal kritische Remote-Schwachstelle. Angriffsvektor (AV:N): Die Schwachstelle ist ueber das Netzwerk erreichbar, typischerweise ueber das Webinterface des Routers. Angriffskomplexitaet (AC:L): Die Ausnutzung ist unkompliziert. Privilegien (PR:N): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (UI:N): Vollstaendig automatisierbarer Angriff. Der Buffer Overflow liegt in den Komponenten cgibin und hnap_main, die HTTP-Anfragen an das Webinterface des Routers verarbeiten. HNAP (Home Network Administration Protocol) ist ein SOAP-basiertes Protokoll, das fuer die Verwaltung von Netzwerkgeraeten verwendet wird. Die betroffenen Komponenten kopieren Benutzereingaben in feste Puffer, ohne die Laenge der Eingabedaten zu pruefen. Durch das Senden ueberlanger Daten kann ein Angreifer den Stack ueberschreiben, die Ruecksprungadresse manipulieren und eigenen Shellcode ausfuehren. Dies fuehrt zur vollstaendigen Kontrolle ueber das Geraet mit den Privilegien des Webserver-Prozesses.
Häufig gestellte Fragen
Gibt es ein Sicherheitsupdate fuer den D-Link Go-RT-AC750?
Nein, D-Link hat den Go-RT-AC750 als End-of-Life deklariert. Es werden keine Firmware-Updates oder Sicherheitspatches mehr bereitgestellt. Die einzige sichere Loesung ist der Austausch des Geraets durch ein aktuell unterstuetztes Modell.
Warum wird eine Schwachstelle aus 2022 erst jetzt in den KEV-Katalog aufgenommen?
Die Aufnahme aelterer Schwachstellen in den KEV-Katalog erfolgt, wenn neue Hinweise auf aktive oder verstaerkte Ausnutzung vorliegen. Der aussergewoehnlich hohe EPSS-Score von 0.69755 deutet auf grossflaechige automatisierte Angriffe hin, vermutlich durch IoT-Botnetze.
Koennte mein Router bereits kompromittiert sein?
Angesichts des hohen EPSS-Scores und der fehlenden Authentifizierungsanforderung ist die Wahrscheinlichkeit hoch, dass ungepatchte, oeffentlich erreichbare Go-RT-AC750-Router bereits kompromittiert sind. Ein sofortiger Austausch wird dringend empfohlen.
Was ist HNAP und warum ist es sicherheitsrelevant?
HNAP (Home Network Administration Protocol) ist ein SOAP-basiertes Protokoll zur Verwaltung von Netzwerkgeraeten. Es ist standardmaessig aktiviert und haeufig von aussen erreichbar, was es zu einem bevorzugten Angriffsziel macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.