BDU:2022-04057

Опубликовано: 28 мая 2022

Источник: fstec

CVSS3: 6.3

CVSS2: 5.2

EPSS Низкий

Описание

Уязвимость реализации функции sprintf() микропрограммного обеспечения маршрутизаторов DIR-890L A1 связана с некорректной проверкой длины строк в параметрах HTTP заголовков. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем подключения через порт 49152

Вендор

D-Link Corp.

Наименование ПО

DIR-890L A1

Версия ПО

до 1.07B09 включительно (DIR-890L A1)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,2)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Организационные меры:

1. Ограничить использование маршрутизаторов DIR-890L A1

2. Использование аналогичного программно-аппаратного средства

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-30521
CVE

EPSS

Процентиль: 82%

0.01758

Низкий

6.3 Medium

CVSS3

5.2 Medium

CVSS2

Связанные уязвимости

CVE-2022-30521

CVSS3: 9.8

nvd

больше 3 лет назад

The LAN-side Web-Configuration Interface has Stack-based Buffer Overflow vulnerability in the D-Link Wi-Fi router firmware DIR-890L DIR890LA1_FW107b09.bin and previous versions. The function created at 0x17958 of /htdocs/cgibin will call sprintf without checking the length of strings in parameters given by HTTP header and can be controlled by users easily. The attackers can exploit the vulnerability to carry out arbitrary code by means of sending a specially constructed payload to port 49152.

GHSA-37gv-mrx7-gfqg