D-Link DNS-320设备远程代码执行缝隙安全公告

颁布功夫 2019-09-24

缝隙编号和级别


CVE编号：CVE-2019-16057，危险级别：严沉，CVSS分值：9.8


影响版本


受影响的版本


D-Link DNS-320 2.05.B10及之前版本


缝隙概述


D-Link DNS-320是中国台湾友讯（D-Link）公司的一款NAS（网络从属存储）设备。


钻研人员发现D-Link DNS-320 ShareCenter设备存在一个号令注入缝隙，攻击者可利用该缝隙远程节造设备并接见设备上存储的文件。


凭据钻研人员的汇报，该缝隙与DNS-320治理界面的SSL Login的暗藏职能有关，受影响的�？�/cgi/login_mgr.cgi蕴含一个可能被利用的参数port，未经身份验证的远程攻击者可利用该缝隙在root权限下执行肆意号令，从而导致设备被收受。 

 

GA黄金甲·(中国区)官方网站


缝隙验证

 

GA黄金甲·(中国区)官方网站


建复建议


目前厂商已颁布升级补丁以建复缝隙，见参考链接。


参考链接


https://blog.cystack.net/d-link-dns-320-rce/