Un investigador de amenazas ha revelado una nueva inyección de comando arbitrario y una falla de puerta trasera codificada en múltiples modelos de dispositivos de almacenamiento conectado en red (NAS) D-Link al final de su vida útil.
El investigador que descubrió la falla, ‘Netsecfish’, explica que el problema reside en el script ‘/cgi-bin/nas_sharing.cgi’, lo que afecta su componente HTTP GET Request Handler.
Los dos problemas principales que contribuyen a la falla, rastreada como CVE-2024-3273, son una puerta trasera facilitada a través de una cuenta codificada (nombre de usuario: “messagebus” y contraseña vacía) y un problema de inyección de comandos a través del parámetro “sistema”.
Cuando están encadenados, cualquier atacante puede ejecutar comandos de forma remota en el dispositivo.
La falla de inyección de comandos surge al agregar un comando codificado en base64 al parámetro “sistema” mediante una solicitud HTTP GET, que luego se ejecuta.
“La explotación exitosa de esta vulnerabilidad podría permitir a un atacante ejecutar comandos arbitrarios en el sistema, lo que podría conducir a un acceso no autorizado a información sensible, modificación de las configuraciones del sistema o condiciones de denegación de servicio”, advierte el investigador.
Netsecfish dice que los escaneos de red muestran más de 92.000 dispositivos NAS D-Link vulnerables expuestos en línea y susceptibles a ataques a través de estas fallas.
