CVE-2024-3272
D-Link Multiple NAS Devices Use of Hard-Coded Credentials Vulnerability
Beschreibung
CVE-2024-3272 ist eine kritische Schwachstelle durch hartcodierte Zugangsdaten in mehreren D-Link NAS-Geraeten (DNS-320L, DNS-325, DNS-327L und DNS-340L), die es einem unauthentifizierten Angreifer ermoeglicht, sich ueber das Netzwerk mit einem fest einprogrammierten Benutzerkonto am System anzumelden. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft End-of-Life-Geraete, fuer die keine Sicherheitsupdates mehr verfuegbar sind.
Die CISA hat CVE-2024-3272 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-05-02. Der EPSS-Score von 94,17 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an. In Kombination mit CVE-2024-3273 (Command Injection) entsteht eine vollstaendige Angriffskette, die die Uebernahme des NAS-Systems ohne jegliche Vorkenntnisse ermoeglicht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dns-320l firmware | 1.01.0702.2013; 1.03.0904.2013; 1.11 |
| dlink | dns-120 firmware | - |
| dlink | dnr-202l firmware | - |
| dlink | dns-315l firmware | - |
| dlink | dns-320 firmware | - |
| dlink | dns-320lw firmware | - |
| dlink | dns-321 firmware | - |
| dlink | dnr-322l firmware | - |
| dlink | dns-323 firmware | - |
| dlink | dns-325 firmware | 1.01 |
| dlink | dns-326 firmware | - |
| dlink | dns-327l firmware | 1.00.0409.2013; 1.09 |
| dlink | dnr-326 firmware | - |
| dlink | dns-340l firmware | 1.08 |
| dlink | dns-343 firmware | - |
| dlink | dns-345 firmware | - |
| dlink | dns-726-4 firmware | - |
| dlink | dns-1100-4 firmware | - |
| dlink | dns-1200-05 firmware | - |
| dlink | dns-1550-04 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/netsecfish/dlink(Exploit, Third Party Advisory)
- https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10383(Vendor Advisory)
- https://vuldb.com/?ctiid.259283(Permissions Required)
- https://vuldb.com/?id.259283(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-3272(US Government Resource)
Schwachstellentyp
Hard-Coded Credentials im HTTP GET Request Handler
CVE-2024-3272 basiert auf der Verwendung hartcodierter Zugangsdaten in der Datei /cgi-bin/nas_sharing.cgi der betroffenen D-Link NAS-Geraete. Der fest einprogrammierte Benutzername messagebus mit einem leeren Passwort ermoeglicht den Zugriff auf geschuetzte Funktionen des NAS-Systems. Diese Schwachstellenklasse entspricht CWE-798 (Use of Hard-coded Credentials), bei der Anmeldedaten direkt im Quellcode oder in der Firmware eingebettet sind und nicht geaendert werden koennen.
Hartcodierte Zugangsdaten sind eine besonders gefaehrliche Schwachstelle, da sie nicht durch Passwortaenderungen behoben werden koennen. Jedes Geraet desselben Modells teilt die gleichen Zugangsdaten, und ein Angreifer, der die Schwachstelle kennt, hat sofortigen Zugriff auf alle betroffenen Geraete weltweit.
Weitere Informationen: CWE-798 -- Use of Hard-coded Credentials
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-3272 sind kritisch, da hartcodierte Zugangsdaten den gesamten Authentifizierungsmechanismus des NAS-Systems untergraben. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Der Angreifer erhaelt Zugang zum NAS und kann saemtliche gespeicherten Daten auslesen, einschliesslich Dokumente, Backups, Fotos und andere vertrauliche Informationen. Integritaet (Hoch): Mit dem authentifizierten Zugang koennen Daten manipuliert, geloescht oder durch Schadsoftware ersetzt werden. Verfuegbarkeit (Hoch): Das NAS-System kann vollstaendig deaktiviert oder fuer den legitimen Zugriff gesperrt werden.
Der EPSS-Score von 94,17 % (99,9. Perzentil) bestaetigt die massenhafte Ausnutzung. Besonders gravierend ist die Kombination mit CVE-2024-3273: Die hartcodierten Zugangsdaten aus CVE-2024-3272 ermoeglichen die Authentifizierung, und die Command-Injection aus CVE-2024-3273 erlaubt anschliessend die Ausfuehrung beliebiger Systembefehle. Tausende betroffener Geraete sind direkt aus dem Internet erreichbar und werden aktiv in Botnet-Kampagnen rekrutiert.
Exploit-Reifegrad
CVE-2024-3272 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-05-02 in den KEV-Katalog aufgenommen. Der EPSS-Score betraegt 94,17 % (99,9. Perzentil). Ein oeffentlicher Exploit auf GitHub dokumentiert sowohl CVE-2024-3272 als auch CVE-2024-3273 und stellt Proof-of-Concept-Code bereit, der beide Schwachstellen in einer Angriffskette kombiniert. Das D-Link Security Advisory SAP10383 bestaetigt die Schwachstelle, stellt jedoch keine Patches bereit, da die betroffenen Geraete End-of-Life sind. Die Trivialitaet des Exploits -- ein einfacher HTTP GET Request mit dem hartcodierten Benutzernamen -- macht die Schwachstelle besonders gefaehrlich fuer automatisierte Angriffe.
Behebung
-
Betroffene Geraete sofort vom Internet trennen: Da keine Sicherheitsupdates verfuegbar sind und die hartcodierten Zugangsdaten nicht geaendert werden koennen, muessen alle betroffenen D-Link NAS-Geraete umgehend vom Internet getrennt werden. Deaktivieren Sie UPnP, Portweiterleitung und alle anderen Mechanismen fuer Fernzugriff.
-
Geraete durch unterstuetzte Modelle ersetzen: D-Link empfiehlt den Austausch der End-of-Life-Geraete durch aktuelle NAS-Modelle, die noch aktiv mit Sicherheitsupdates versorgt werden. Konsultieren Sie das D-Link Security Advisory SAP10383 fuer Details.
-
Strikte Netzwerkisolation implementieren: Wenn ein sofortiger Austausch nicht moeglich ist, platzieren Sie die betroffenen NAS-Geraete in einem dedizierten VLAN mit restriktiven Firewall-Regeln. Beschraenken Sie den Zugriff ausschliesslich auf vertrauenswuerdige interne IP-Adressen und Ports.
-
Daten sichern und auf sichere Systeme migrieren: Erstellen Sie vollstaendige Backups aller auf den NAS-Geraeten gespeicherten Daten und migrieren Sie diese auf ein aktuelles, sicheres Speichersystem. Verifizieren Sie die Integritaet der migrierten Daten.
-
Forensische Analyse durchfuehren: Ueberpruefen Sie Netzwerkprotokolle und Geraeteprotokolle auf Anzeichen einer bereits erfolgten Kompromittierung. Suchen Sie nach ungewoehnlichen Zugriffen ueber den Benutzer messagebus und nach verdaechtigen Dateiaenderungen auf den NAS-Geraeten.
Technische Details
CVE-2024-3272 betrifft die D-Link NAS-Modelle DNS-320L, DNS-325, DNS-327L und DNS-340L sowie zahlreiche weitere End-of-Life-Modelle wie DNS-120, DNS-315L, DNS-320, DNS-321, DNS-323, DNS-326, DNS-343 und DNS-345. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe ohne Scope-Aenderung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber HTTP erreichbar. Angriffskomplexitaet (Niedrig): Die hartcodierten Zugangsdaten sind oeffentlich bekannt und der Exploit ist trivial. Berechtigungen (Keine): Keine vorherige Authentifizierung erforderlich, da die Schwachstelle die Authentifizierung selbst betrifft. Benutzerinteraktion (Keine): Der Angriff erfolgt vollstaendig automatisiert.
Der Angriffsmechanismus basiert auf dem fest einprogrammierten Benutzernamen messagebus mit einem leeren Passwort in der Datei /cgi-bin/nas_sharing.cgi. Durch Setzen des Parameters user auf den Base64-kodierten Wert von messagebus in einem HTTP GET Request erhaelt der Angreifer authentifizierten Zugang zum NAS-System. Die Schwachstelle wurde als UNSUPPORTED WHEN ASSIGNED klassifiziert, da die Geraete zum Zeitpunkt der Veroeffentlichung bereits End-of-Life waren. In der Praxis wird CVE-2024-3272 fast immer zusammen mit CVE-2024-3273 ausgenutzt, um nach der Authentifizierung beliebige Systembefehle auszufuehren.
Häufig gestellte Fragen
Kann ich die hartcodierten Zugangsdaten aendern?
Nein, die Zugangsdaten sind in der Firmware der D-Link NAS-Geraete fest einprogrammiert und koennen nicht durch den Benutzer geaendert werden. Da die Geraete End-of-Life sind und keine Firmware-Updates mehr erhalten, gibt es keine Moeglichkeit, diese Schwachstelle durch eine Konfigurationsaenderung zu beheben. Die einzige Loesung ist die Ausserbetriebnahme oder strikte Netzwerkisolation.
Wie haengen CVE-2024-3272 und CVE-2024-3273 zusammen?
CVE-2024-3272 stellt die hartcodierten Zugangsdaten (Benutzername: messagebus) bereit, und CVE-2024-3273 ermoeglicht die Command Injection ueber denselben Endpunkt. Zusammen bilden sie eine vollstaendige Angriffskette: Authentifizierung ohne gueltige Zugangsdaten und anschliessende Ausfuehrung beliebiger Systembefehle.
Wie viele Geraete sind weltweit betroffen?
Sicherheitsforscher schaetzen, dass ueber 92.000 verwundbare D-Link NAS-Geraete direkt aus dem Internet erreichbar sind. Automatisierte Scanner suchen aktiv nach diesen Geraeten, und der EPSS-Score von 94,17 % bestaetigt die massenhafte Ausnutzung in freier Wildbahn.
Warum hat D-Link keinen Patch veroeffentlicht?
Die betroffenen NAS-Modelle haben ihren End-of-Life-Status erreicht. D-Link stellt fuer diese Geraete keine Firmware-Updates oder Sicherheitspatches mehr bereit. Im Security Advisory empfiehlt D-Link ausdruecklich den Austausch durch aktuelle, noch unterstuetzte Modelle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.