D-Link Seite 4

In D-Link dir815 v.1.01SSb08.bin besteht eine Schwachstelle, die es einem entfernten Angreifer erlaubt, beliebigen Code auszuführen. Die Ausnutzung erfolgt über eine präparierte POST-Anfrage an den Parameter service in der Funktion soapcgi_main der cgibin-Komponente. Dadurch kann ein Angreifer aus der Ferne die Kontrolle über das Gerät übernehmen. CVSS-Basiswert: 9.8 (Kritisch).

In D-Link D-View 8 v2.0.2.89 und früher können Angreifer das Probe-Inventar des D-View-Dienstes manipulieren. Dies kann zur Offenlegung von Informationen anderer Probes, zu Denial-of-Service-Zuständen durch ein volllaufendes Probe-Inventar oder zur Ausführung von Aufgaben auf anderen Probes führen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

Im D-Link DIR-850L v.B1_FW223WWb01 besteht eine Schwachstelle, die es einem entfernten Angreifer erlaubt, über ein präpariertes Skript im Parameter en beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link Go-RT-AC750 revA_v101b03 enthält eine Command-Injection-Schwachstelle über den Parameter service in hedwig.cgi. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellte aktualisierte Firmware einspielen und den Netzwerkzugriff auf das Gerät einschränken.

Eine SQL-Injection-Schwachstelle im D-Link Online Behavior Audit Gateway DAR-7000 V31R02B1413C erlaubt einem entfernten Angreifer, über die Komponente editrole.php an sensible Informationen zu gelangen und beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Das D-Link Online Behavior Audit Gateway DAR-7000 (Version V31R02B1413C) ist über die Datei /importexport.php für SQL-Injection anfällig. Ein Angreifer kann über diese Schwachstelle manipulierte Datenbankabfragen einschleusen und so unberechtigt auf Daten zugreifen oder diese verändern. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten die Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

Das D-Link Online behavior audit gateway DAR-7000 V31R02B1413C ist über /log/mailrecvview.php für SQL-Injection anfällig. Angreifer können darüber Datenbankabfragen manipulieren. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-820L in der Version 1.05B03 weist in der Funktion sub_4507CC eine Stack-Overflow-Schwachstelle auf. Ein Angreifer kann dies zum Einschleusen und Ausführen von Code oder zum Absturz des Geräts nutzen. CVSS-Basiswert: 9.8 (Kritisch).

Das D-Link-Gerät DIR-820L 1.05B03 ist für unsichere Berechtigungen (Insecure Permissions) anfällig. CVSS-Basiswert: 9.8 (Kritisch).

Eine Buffer-Overflow-Schwachstelle in mehreren D-Link-Geräten (u. a. DI-7003GV2.D1, DI-7100G+V2.D1, DI-7100GV2.D1, DI-7200G+V2.D1, DI-7200GV2.E1, DI-7300G+V2.D1 und DI-7400G+V2.D1 in den genannten Firmware-Ständen und früher) erlaubt einem entfernten Angreifer, über den Parameter fn der Funktion tgfile.htm beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellte aktualisierte Firmware einspielen.

In mehreren D-Link-Geräten (unter anderem DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1 und DI-7400G+V2.D1) besteht ein Pufferüberlauf. Ein entfernter Angreifer kann über den Parameter n der Funktion mrclfile_del.asp beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren D-Link-Geräten der DI-7000-Serie (unter anderem DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1 und DI-7400G+V2.D1) besteht in bestimmten Firmware-Versionen ein Pufferüberlauf. Ein entfernter Angreifer kann über den fn-Parameter der Funktion file.data beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Stack-Overflow-Schwachstelle in mehreren D-Link-Geräten der DI-7xxx-Reihe (u. a. DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1, DI-7300G+V2.D1, DI-7400G+V2.D1) in den genannten Firmware-Ständen erlaubt einem entfernten Angreifer die Ausführung beliebigen Codes über den Parameter ip der Funktion ip_position.asp. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren D-Link-Geräten der DI-7000-Reihe (u. a. DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1, DI-7300G+V2.D1, DI-7400G+V2.D1) besteht über den Parameter wanid der Funktion H5/speedlimit.data ein Stack Overflow, der einem entfernten Angreifer die Ausführung beliebigen Codes ermöglicht. CVSS-Basiswert: 9.8 (Kritisch).

In mehreren D-Link-Geräten (unter anderem DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1 und DI-7400G+V2.D1) besteht ein Pufferüberlauf. Ein entfernter Angreifer kann über den Parameter ip/type in der Funktion jingx.asp beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Mehrere D-Link-Geraete (u. a. DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200G+V2.D1) enthalten in aelteren Firmware-Staenden einen Buffer Overflow, der entfernten Angreifern über die Parameter remove_ext_proto/remove_ext_port der Funktion upnp_ctrl.asp die Ausführung beliebigen Codes erlaubt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

In D-Link-Geräten des Modells DI-7003GV2.D1 (Version v.23.08.25D1 und früher) sowie in weiteren Modellen der Reihen DI-7100, DI-7200, DI-7300 und DI-7400 besteht eine Buffer-Overflow-Schwachstelle. Ein entfernter Angreifer kann über die Parameter pap_en und chap_en der Funktion pppoe_base.asp beliebigen Code ausführen. Da der Angriff aus der Ferne möglich ist, ist das Risiko besonders hoch. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten die Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

Eine Buffer-Overflow-Schwachstelle in mehreren D-Link-Geräten der DI-7000-Serie (u. a. DI-7003GV2.D1, DI-7100G+V2.D1, DI-7200GV2.E1) in verschiedenen Firmware-Ständen bis 23.08.x erlaubt einem entfernten Angreifer, über die Parameter wild/mx und weitere der Funktion ddns.asp beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link DIR-820L 1.05B03 besteht ein Stack-basierter Pufferüberlauf in der Funktion cancelPing. Ein Angreifer kann darüber den Programmablauf beeinflussen und im schlimmsten Fall beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-619L B1 2.02 ist über die Funktion formSetWAN_Wizard56 für einen Pufferüberlauf anfällig. Angreifer können dadurch das Gerät kompromittieren. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-806 1200M11AC WLAN-Router (Firmware DIR806A1_FW100CNb11) ist aufgrund einer unzureichenden Filterung der REMOTE_PORT-Parameter für Command Injection anfällig. Ein Angreifer kann über diese Schwachstelle beliebige Befehle einschleusen und ausführen. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten die Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

Der D-Link DIR-806 1200M11AC WLAN-Router (DIR806A1_FW100CNb11) ist anfällig für Command Injection. Angreifer können darüber beliebige Befehle auf dem Gerät einschleusen. CVSS-Basiswert: 9.8 (Kritisch).

Der WLAN-Router D-LINK DIR-806 (1200M11AC, DIR806A1_FW100CNb11) ist aufgrund unzureichender Filterung der HTTP_ST-Parameter für Command-Injection anfällig. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-823G (v1.0.2B05) enthält einen Stack Overflow über die Parameter StartTime und EndTime in SetWifiDownSettings. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Im D-Link DIR-816 A2 (Version v1.10CNB05) wurde ein Stack-Overflow entdeckt. Die Schwachstelle wird über den Parameter macCloneMac in der Funktion setMAC ausgelöst. Ein erfolgreicher Angriff kann zu Speicherbeschädigung und potenziell zur Ausführung von Schadcode führen. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten die Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

In D-Link DIR-816 A2 v1.10CNB05 wurde über den Parameter statuscheckpppoeuser in dir_setWanWifi ein Stack Overflow entdeckt. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-823G v1.0.2B05 enthält einen Stack Overflow über die Parameter TXPower und GuardInt in SetWLanRadioSecurity. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellte aktualisierte Firmware einspielen und den Netzwerkzugriff auf das Gerät einschränken.

Im D-Link DIR-816 A2 v1.10CNB05 besteht ein Stack-basierter Pufferüberlauf, der über den Parameter removeRuleList in form2IPQoSTcDel ausgelöst werden kann. Ein Angreifer kann darüber den Programmablauf beeinflussen und im schlimmsten Fall beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DIR-816 A2 v1.10CNB05 enthält einen Stack Overflow, der über den Parameter nvmacaddr in form2Dhcpip.cgi ausgelöst werden kann. Angreifer können dadurch das Gerät kompromittieren. CVSS-Basiswert: 9.8 (Kritisch).

In D-Link DIR-816 A2 v1.10CNB05 wurde ein Stack-Overflow über den Parameter sip_address in der Funktion ipportFilter entdeckt. Ein Angreifer kann diese Schwachstelle ausnutzen, um den Speicher zu überlaufen. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link DIR-816 A2 v1.10CNB05 wurde ein Stack Overflow über den Parameter flag_5G in showMACfilterMAC entdeckt. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link DI-7200GV2.E1 (Firmware v21.04.09E1) wurde ein Stack-Overflow entdeckt, der über den Parameter zn_jb in der Funktion arp_sys.asp ausgelöst werden kann. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine vom Hersteller bereitgestellte fehlerbereinigte Firmware-Version.

Der D-Link DI-7200GV2.E1 (v21.04.09E1) enthält einen Stack Overflow über den Parameter popupId in der Funktion H5/hi_block.asp. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Das D-Link-Gerät DI-7200GV2.E1 v21.04.09E1 enthält einen Stack Overflow über den Parameter fn in der Funktion tgfile.asp. CVSS-Basiswert: 9.8 (Kritisch).

Das D-Link-Gerät DI-7200GV2.E1 v21.04.09E1 enthält einen Stack Overflow, der über den Parameter hi_up in der Funktion qos_ext.asp ausgelöst werden kann. Angreifer können dadurch das Gerät kompromittieren. CVSS-Basiswert: 9.8 (Kritisch).

Das D-Link-Gerät DI-7200GV2.E1 v21.04.09E1 enthält über den Parameter prev in der Funktion H5/login.cgi einen Stack Overflow. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link-Gerät DI-7200GV2.E1 (Version v21.04.09E1) wurde ein Stack-Overflow entdeckt. Die Schwachstelle wird über den Parameter id in der Funktion yyxz.data ausgelöst. Ein erfolgreicher Angriff kann zu Speicherbeschädigung und potenziell zur Ausführung von Schadcode führen. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten die Herstellerhinweise beachten und verfügbare Aktualisierungen einspielen.

Der D-LINK DWL-6610 FW_v_4.3.0.8B003C enthält eine Command-Injection-Schwachstelle in der Funktion sub_2EF50. Angreifer können darüber beliebige Befehle über den Parameter manual-time-string ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellte aktualisierte Firmware einspielen und den Netzwerkzugriff auf das Gerät einschränken.

Im D-Link DWL-6610 (FW_v_4.3.0.8B003C) besteht eine Command-Injection-Schwachstelle in der Funktion web_cert_download_handler. Ein Angreifer kann über den Parameter certDownload beliebige Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Im D-LINK DWL-6610 FW_v_4.3.0.8B003C wurde eine Command-Injection-Schwachstelle in der Funktion pcap_download_handler entdeckt. Über den Parameter update.device.packet-capture.tftp-file-name können Angreifer beliebige Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Der D-Link DWL-6610 in der Firmware FW_v_4.3.0.8B003C enthält eine Command-Injection-Schwachstelle in der Funktion config_upload_handler. Angreifer können darüber im Parameter configRestore beliebige Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch).

In D-LINK DWL-6610 FW_v_4.3.0.8B003C wurde eine Stack-Overflow-Schwachstelle in der Funktion update_users entdeckt. Ein Angreifer kann diese Schwachstelle ausnutzen, um den Speicher zu überlaufen. CVSS-Basiswert: 9.8 (Kritisch).

In D-Link D-View 8 v2.0.1.28 wird ein statischer Schlüssel zum Schutz des bei der Benutzerauthentifizierung verwendeten JWT-Tokens genutzt. Da der Schlüssel unveränderlich ist, kann ein Angreifer gültige Tokens erzeugen und so die Authentifizierung umgehen. CVSS-Basiswert: 9.8 (Kritisch).

In den D-Link DIR-859 Modellen A1 1.05 und A1 1.06B01 Beta01 wurde eine Command-Injection-Schwachstelle entdeckt. Sie befindet sich in der Funktion lxmldbc_system unter /htdocs/cgibin und erlaubt einem Angreifer, beliebige Systembefehle einzuschleusen und auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link DIR-816 A2 (1.10 B05) wurde eine Command-Injection-Schwachstelle über die Komponente /goform/Diagnosis entdeckt. CVSS-Basiswert: 9.8 (Kritisch).

In DLINK 619L Version B 2.06beta besteht ein Pufferüberlauf über den Parameter curTime beim Login. CVSS-Basiswert: 9.8 (Kritisch).

In DLINK 619L Version B 2.06beta besteht eine Buffer-Overflow-Schwachstelle, die über den Parameter FILECODE beim Login ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch).

In D-Link DAP-2660 v1.13 wurde ein Buffer Overflow über den Parameter f_ipv6_enable am Endpunkt /bsc_ipv6 entdeckt. Die Schwachstelle wird über eine präparierte POST-Anfrage ausgenutzt. CVSS-Basiswert: 9.8 (Kritisch).

D-Link DAP-2660 v1.13 enthält einen Buffer Overflow in der Komponente /adv_resource, der über eine speziell gestaltete GET-Anfrage ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch).

Im D-Link DIR-842 (Firmware fw_revA_1-02_eu_multi_20151008) wurden mehrere Pufferüberläufe in der fgets-Funktion entdeckt, die über die Parameter acStack_120 und acStack_220 ausgelöst werden können. Angreifer können damit gezielt Speicher überschreiben und die Kontrolle über den Programmablauf gewinnen. CVSS-Basiswert: 9.8 (Kritisch). Betreiber sollten den Verfügbarkeit einer Hersteller-Firmware prüfen und das Gerät bis dahin nicht aus nicht vertrauenswürdigen Netzen erreichbar halten.