因为存在这些安全漏洞的D-Link NAS产品都是老型号，早在4年前就已经达到、超出了厂商所承诺提供支持服务的最后期限，因此，D-Link表示将不会针对CVE-2024-10914安全漏洞发布修复补丁，建议用户停用这类产品。也就是说，D-Link官方将不会发布安全补丁修复该漏洞，在这种情况下，如果大家还在使用上述型号的D-Link NAS...
IT之家 4 月 8 日消息，安全专家近日披露了漏洞，表示多款已停止支持的 D-Link 网络附加存储（NAS）设备上存在严重漏洞，可以让攻击者注入任意命令或者实现硬编码后门漏洞。发现该漏洞的研究人员 Netsecfish 解释说，该问题存在于“/cgi-bin/ nas_sharing.cgi”脚本中，影响了其 HTTP GET 请求处理程序组件。该漏...
这种漏洞究竟带来了怎样的威胁？存在于account_mgr.cgi脚本中的漏洞，允许恶意攻击者在未进行身份验证的情况下，通过在name参数中输入恶意内容，利用HTTP GET请求进行命令注入攻击。已确认存在此安全漏洞，受到影响的D-Link NAS设备型号包括：DNS-320 1.00版、DNS-320LW 1.01.0914.2012版、DNS-325 1.01和1.02...
研究人员Netsecfish于D-Link旗下部分型号的网络存储设备(NAS)发现重大层级的CVE-2024-10914,此为命令注入漏洞,存在于NAS设备名为account_mgr.cgi的URI,发生在CGI脚本cgi_user_add处理name参数的过程,未经身份验证的攻击者有机会利用伪造的HTTP GET请求,借由漏洞注入任意的Shell命令,估计全球约有6.1万台设备曝险。 这...
在发现严重的远程代码执行 (RCE) 漏洞后，D-Link 强烈建议其旧款 VPN 路由器用户更换设备。 由于这些型号的路由器已达到其使用寿命和终止支持的日期，因此不会再对其打补丁以防范该漏洞。安全研究人员"delsploit"向D-Link报告了该漏洞，但尚未分配CVE标识符。 该漏洞的技术细节也未披露，因此客户有时间在网络犯罪...
网络安全专家近日披露了一项漏洞,指出多款已停止支持的D-Link网络附加存储(NAS)设备存在严重风险。该漏洞可以让攻击者注入任意命令或利用硬编码后门进行远程攻击。 研究人员Netsecfish解释说,这个问题存在于“/cgi-bin/nas_sharing.cgi”脚本中,并影响了HTTP GET请求处理程序组件。该漏洞被追踪编号为CVE-2024-3273,主要...
D-Link 最近确认，其已停产的NAS设备中存在的一个严重安全漏洞将不会得到修复。这使得数千台设备面临潜在的网络安全威胁。受影响的NAS设备包括DNS-320、DNS-320LW、DNS-325和DNS-340L，这些设备的固件版本最高可达20241028。未修复的漏洞引发安全担忧 该漏洞被追踪为CVE-2024-10914，存在于“cgi_user_add”命令中...
近日,安全研究人员发现,威胁攻击者正在积极”瞄准“超过 92000 台报废的 D-Link 网络附加存储 (NAS) 设备,这些设备长时间都处于在线暴露状态,且未针对关键的远程代码执行 (RCE) 零日漏洞进行修补。 网络安全公司 GreyNoise 和威胁监控平台 ShadowServer 方面的研究人员指出,威胁攻击者针对漏洞始于上周一。
而这次煽动翅膀的是D-Link产品的一个漏洞。 这个D-Link 不愿修复的高危漏洞 2019年9月,集成自动化网络安全解决方案商Fortinet 的 FortiGuard Labs 发现并向官方反馈了 D-Link 产品中存在的一个未授权命令注入漏洞(FG-VD-19-117/CVE-2019-16920)。攻击者可以利用该漏洞在设备上实现远程代码执行(RCE),且无需...
通过上述两个漏洞,我们就可以无限制命令执行。 以下为漏洞证明: 成功命令执行。 0x02 数据分析 根据ZoomEye网络空间搜索引擎截止到2017年8月9日探测和分析的数据,对存在漏洞的D-Link路由器进行全球范围的分析,如下图所示。 图1 D-Link DIR系列路由器信息泄露和远程命令执行漏洞全球态势 ...