CVE-2024-3273
D-Link Multiple NAS Devices Command Injection Vulnerability
Beschreibung
CVE-2024-3273 ist eine schwerwiegende Command-Injection-Schwachstelle in mehreren D-Link NAS-Geraeten (DNS-320L, DNS-325, DNS-327L und DNS-340L), die es einem unauthentifizierten Angreifer ermoeglicht, ueber das Netzwerk beliebige Systembefehle auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 7.3 (HIGH) bewertet und betrifft End-of-Life-Geraete, fuer die keine Sicherheitsupdates mehr bereitgestellt werden.
Die CISA hat CVE-2024-3273 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-05-02. Der EPSS-Score von 94,40 % (100. Perzentil) zeigt die hoechstmoegliche Ausnutzungswahrscheinlichkeit an. Da es sich um nicht mehr unterstuetzte Geraete handelt, sind keine Patches verfuegbar, und die einzige Loesung ist die Ausserbetriebnahme oder Isolation der betroffenen Systeme.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dlink | dns-320l firmware | 1.01.0702.2013; 1.03.0904.2013; 1.11 |
| dlink | dns-120 firmware | - |
| dlink | dnr-202l firmware | - |
| dlink | dns-315l firmware | - |
| dlink | dns-320 firmware | - |
| dlink | dns-320lw firmware | - |
| dlink | dns-321 firmware | - |
| dlink | dnr-322l firmware | - |
| dlink | dns-323 firmware | - |
| dlink | dns-325 firmware | 1.01 |
| dlink | dns-326 firmware | - |
| dlink | dns-327l firmware | 1.00.0409.2013; 1.09 |
| dlink | dnr-326 firmware | - |
| dlink | dns-340l firmware | 1.08 |
| dlink | dns-343 firmware | - |
| dlink | dns-345 firmware | - |
| dlink | dns-726-4 firmware | - |
| dlink | dns-1100-4 firmware | - |
| dlink | dns-1200-05 firmware | - |
| dlink | dns-1550-04 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/netsecfish/dlink(Exploit, Third Party Advisory)
- https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10383(Vendor Advisory)
- https://vuldb.com/?ctiid.259284(Permissions Required, VDB Entry)
- https://vuldb.com/?id.259284(Third Party Advisory, VDB Entry)
- https://vuldb.com/?submit.304661(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-3273(US Government Resource)
- https://www.greynoise.io/blog/cve-2024-3273-d-link-nas-rce-exploited-in-the-wild(Third Party Advisory)
Schwachstellentyp
Command Injection ueber HTTP GET Request Handler
CVE-2024-3273 ist eine Command-Injection-Schwachstelle im HTTP GET Request Handler der D-Link NAS-Geraete. Die Schwachstelle befindet sich in der Datei /cgi-bin/nas_sharing.cgi, in der der Parameter system nicht ausreichend validiert wird. Ein Angreifer kann durch Manipulation dieses Parameters beliebige Systembefehle einschleusen und ausfuehren. Diese Schwachstellenklasse entspricht CWE-78 (OS Command Injection), bei der Benutzereingaben ohne ausreichende Bereinigung in Systembefehle eingebettet werden.
Besonders kritisch ist, dass die Schwachstelle in Kombination mit CVE-2024-3272 (Hard-Coded Credentials) genutzt werden kann, wodurch ein Angreifer ohne jegliche Authentifizierung vollstaendigen Zugriff auf das NAS-System erlangen kann.
Weitere Informationen: CWE-78 -- OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-3273 sind besonders gravierend, da die betroffenen D-Link NAS-Geraete haeufig sensible Daten speichern und keine Patches verfuegbar sind. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L beschreibt zwar nur niedrige Einzelauswirkungen auf Vertraulichkeit, Integritaet und Verfuegbarkeit, doch in der Praxis ermoeglicht die Command Injection die vollstaendige Uebernahme des Geraets. Vertraulichkeit (Niedrig): Der Angreifer kann auf Daten zugreifen, die auf dem NAS gespeichert sind, wobei der initiale Zugriff eingeschraenkt sein kann. Integritaet (Niedrig): Systembefehle koennen ausgefuehrt werden, um Dateien zu manipulieren oder Malware zu installieren. Verfuegbarkeit (Niedrig): Das Geraet kann destabilisiert oder als Teil eines Botnets missbraucht werden.
Der EPSS-Score von 94,40 % (100. Perzentil) ist der hoechstmoegliche Wert und zeigt, dass die Schwachstelle massenhaft ausgenutzt wird. GreyNoise hat dokumentiert, dass CVE-2024-3273 aktiv in Botnet-Kampagnen eingesetzt wird, um ungeschuetzte D-Link NAS-Geraete zu uebernehmen und fuer DDoS-Angriffe oder Kryptomining zu missbrauchen.
Exploit-Reifegrad
CVE-2024-3273 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-05-02 in den KEV-Katalog aufgenommen. Der EPSS-Score betraegt 94,40 % (100. Perzentil) -- der hoechstmoegliche Wert. Ein oeffentlicher Exploit ist auf GitHub verfuegbar, der die Schwachstelle detailliert dokumentiert und Proof-of-Concept-Code bereitstellt. GreyNoise berichtet ueber massenhafte Ausnutzung in freier Wildbahn, wobei automatisierte Scanner weltweit nach verwundbaren D-Link NAS-Geraeten suchen. Das D-Link Security Advisory bestaetigt die Schwachstelle, weist aber darauf hin, dass die betroffenen Geraete End-of-Life sind und keine Patches mehr erhalten werden.
Behebung
-
Betroffene Geraete sofort vom Internet trennen: Da keine Sicherheitsupdates verfuegbar sind, muessen die betroffenen D-Link NAS-Geraete (DNS-320L, DNS-325, DNS-327L, DNS-340L und weitere) umgehend vom Internet getrennt werden. Stellen Sie sicher, dass kein Zugriff ueber Portweiterleitung, UPnP oder andere Mechanismen moeglich ist.
-
Geraete durch unterstuetzte Modelle ersetzen: D-Link empfiehlt ausdruecklich, die End-of-Life-Geraete durch aktuelle, noch unterstuetzte NAS-Modelle zu ersetzen. Konsultieren Sie das D-Link Security Advisory SAP10383 fuer die vollstaendige Liste betroffener Geraete.
-
Netzwerkisolation als Uebergangsloesung: Wenn ein sofortiger Austausch nicht moeglich ist, isolieren Sie die betroffenen NAS-Geraete in einem separaten VLAN mit strikten Firewall-Regeln. Erlauben Sie nur Zugriff von vertrauenswuerdigen internen IP-Adressen und blockieren Sie jeglichen eingehenden Verkehr aus dem Internet.
-
Daten sichern und migrieren: Erstellen Sie umgehend Backups aller auf den betroffenen NAS-Geraeten gespeicherten Daten und migrieren Sie diese auf ein sicheres Speichersystem. Ueberpruefen Sie die Integritaet der gesicherten Daten.
-
Netzwerk auf Kompromittierung ueberpruefen: Untersuchen Sie Ihre Netzwerkprotokolle auf verdaechtige Zugriffe auf die NAS-Geraete. Suchen Sie nach ungewoehnlichen HTTP-Anfragen an /cgi-bin/nas_sharing.cgi und nach verdaechtigen ausgehenden Verbindungen von den NAS-Geraeten.
Technische Details
CVE-2024-3273 betrifft die D-Link NAS-Modelle DNS-320L, DNS-325, DNS-327L und DNS-340L sowie zahlreiche weitere End-of-Life-Modelle. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L beschreibt eine netzwerkbasierte Schwachstelle ohne Authentifizierungsanforderung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber HTTP erreichbar. Angriffskomplexitaet (Niedrig): Der Exploit ist trivial und erfordert keine besonderen Bedingungen. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff erfolgt vollstaendig automatisiert.
Der Angriffsmechanismus nutzt eine ungenuegend validierte Eingabe im Parameter system der Datei /cgi-bin/nas_sharing.cgi aus. Durch einen speziell praeparierten HTTP GET Request kann ein Angreifer beliebige Shell-Befehle einschleusen, die auf dem NAS-Geraet ausgefuehrt werden. In Kombination mit CVE-2024-3272, das hartcodierte Zugangsdaten (Benutzername: messagebus) bereitstellt, ergibt sich eine vollstaendige Angriffskette ohne jegliche Authentifizierungsbarriere. Die Schwachstelle wurde als UNSUPPORTED WHEN ASSIGNED klassifiziert, da die Geraete bereits zum Zeitpunkt der Veroeffentlichung ihren End-of-Life-Status erreicht hatten.
Häufig gestellte Fragen
Warum gibt es keinen Patch fuer CVE-2024-3273?
Die betroffenen D-Link NAS-Geraete haben ihren End-of-Life-Status erreicht, das heisst, D-Link stellt keine Firmware-Updates mehr bereit. Die Schwachstelle wurde als "UNSUPPORTED WHEN ASSIGNED" klassifiziert. D-Link empfiehlt den Austausch der Geraete durch aktuelle, noch unterstuetzte Modelle.
Wie haengen CVE-2024-3273 und CVE-2024-3272 zusammen?
CVE-2024-3272 betrifft hartcodierte Zugangsdaten in denselben D-Link NAS-Geraeten. In Kombination bilden beide Schwachstellen eine vollstaendige Angriffskette: CVE-2024-3272 ermoeglicht die Authentifizierung mit dem hartcodierten Benutzer "messagebus", und CVE-2024-3273 erlaubt anschliessend die Ausfuehrung beliebiger Systembefehle.
Wird CVE-2024-3273 in Botnet-Angriffen genutzt?
Ja, GreyNoise hat dokumentiert, dass CVE-2024-3273 aktiv in Botnet-Kampagnen ausgenutzt wird. Automatisierte Scanner suchen weltweit nach verwundbaren D-Link NAS-Geraeten, um diese fuer DDoS-Angriffe oder Kryptomining zu missbrauchen. Der EPSS-Score von 94,40 % (100. Perzentil) bestaetigt die massenhafte Ausnutzung.
Welche D-Link NAS-Modelle sind betroffen?
Neben den primaer genannten Modellen DNS-320L, DNS-325, DNS-327L und DNS-340L sind zahlreiche weitere D-Link NAS-Modelle betroffen, darunter DNS-120, DNS-315L, DNS-320, DNS-321, DNS-323, DNS-326, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05 und DNS-1550-04. Eine vollstaendige Liste finden Sie im D-Link Security Advisory.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.