Dir 878 Firmware
Уязвимости
44
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.80221
Распределение по критичности
Критический
14
Высокий
24
Средний
6
Низкий
0
Затронутые диапазоны версий
≤ 1.20b03≤ 1.20b05≤ 1.30b06≤ 1.30b08≤ 2024-01-12
Также сопоставлено как (исходные строки): dir_878_firmware,dir-878_firmware
Топ уязвимостей
CVE-2023-27720D-Link DIR878 1.30B08 была обнаружена с переполнением стека в функции sub_48d630. Эта уязвимость позволяет злоумышленникам вызвать отказ в обслуживании (DoS) или выполнить произвольный код через созданный payload.
CVE-2023-24800Данная уязвимость в D-Link DIR878 DIR_878_FW120B05 позволяет злоумышленникам вызвать переполнение стека в функции sub_495220. Эта уязвимость позволяет злоумышленникам вызвать отказ в обслуживании (DoS) или выполнить произвольный код через специально подготовленный полезный нагруз.
CVE-2023-24799Данная уязвимость в D-Link DIR878 DIR_878_FW120B05 позволяет злоумышленникам вызвать переполнение стека в функции sub_48AF78. Эта уязвимость позволяет злоумышленникам вызвать отказ в обслуживании (DoS) или выполнить произвольный код через специально подготовленный полезный нагруз.
CVE-2023-24798Данная уязвимость в D-Link DIR878 DIR_878_FW120B05 позволяет злоумышленникам вызвать переполнение стека в функции sub_475FB0. Эта уязвимость позволяет злоумышленникам вызвать отказ в обслуживании (DoS) или выполнить произвольный код через специально подготовленный полезный нагруз.
CVE-2022-48108Обнаружено, что D-Link DIR_878_FW1.30B08 содержит уязвимость command injection через компонент /SetNetworkSettings/SubnetMask. Эта уязвимость позволяет злоумышленникам повышать привилегии до root через специально созданный payload.
CVE-2022-48107Обнаружено, что D-Link DIR_878_FW1.30B08 содержит уязвимость command injection через компонент /setnetworksettings/IPAddress. Эта уязвимость позволяет злоумышленникам повышать привилегии до root через специально созданный payload.
CVE-2022-44801D-Link DIR-878 1.02B05 уязвим для неправильного контроля доступа.
CVE-2022-44202D-Link DIR878 1.02B04 и 1.02B05 уязвимы для переполнения буфера.
CVE-2022-43184В D-Link DIR878 1.30B08 Hotfix_04 обнаружена уязвимость внедрения команд через компонент /bin/proc.cgi.
CVE-2021-44882В устройстве D-Link DIR_878_FW1.30B08_Hotfix_02 обнаружена уязвимость командной инъекции в функции twsystem. Эта уязвимость позволяет злоумышленникам выполнять произвольные команды через специально созданный POST-запрос HNAP1.
CVE-2021-44880В устройствах D-Link DIR_878 DIR_878_FW1.30B08_Hotfix_02 и DIR_882 DIR_882_FW1.30B06_Hotfix_02 обнаружена уязвимость командной инъекции в системной функции. Эта уязвимость позволяет злоумышленникам выполнять произвольные команды через специально созданный POST-запрос HNAP1.
CVE-2021-30072В prog.cgi на устройствах D-Link DIR-878 1.30B08 обнаружена проблема. Из-за неправильного использования strcat происходит переполнение буфера на основе стека, не требующее аутентификации.
CVE-2019-9125Обнаружена проблема на устройствах D-Link DIR-878 1.12B01. Поскольку strncpy используется неправильно, существует уязвимость переполнения буфера на основе стека, которая не требует аутентификации через HTTP-заголовок HNAP_AUTH.
CVE-2019-9124Обнаружена проблема на устройствах D-Link DIR-878 1.12B01. По адресу /HNAP1 злоумышленник может войти в систему с пустым паролем.
CVE-2022-41140Эта уязвимость позволяет злоумышленникам, находящимся в непосредственной близости к сети, выполнять произвольный код на затронутых установках нескольких маршрутизаторов D-Link. Для эксплуатации этой уязвимости не требуется аутентификация. Конкретная ошибка существует в службе lighttpd, которая по умолчанию прослушивает TCP-порт 80. Проблема возникает из-за отсутствия надлежащей проверки длины предоставленных пользователем данных перед их копированием в буфер фиксированной длины на основе стека. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте root. Была ZDI-CAN-13796.
CVE-2022-26670D-Link DIR-878 имеет неадекватную фильтрацию специальных символов в поле ввода веб-страницы. Неаутентифицированный LAN-злоумышленник может выполнить атаку с внедрением команд для выполнения произвольных системных команд для управления системой или нарушения обслуживания.
CVE-2020-8864Эта уязвимость позволяет злоумышленникам, находящимся в той же сети, обходить аутентификацию на уязвимых установках маршрутизаторов D-Link DIR-867, DIR-878 и DIR-882 с версией прошивки 1.10B04. Для эксплуатации этой уязвимости не требуется аутентификация. Конкретный недостаток существует в обработке запросов на вход в HNAP. Проблема возникает из-за отсутствия надлежащей обработки пустых паролей. Злоумышленник может использовать эту уязвимость для выполнения произвольного кода на маршрутизаторе. Was ZDI-CAN-9471.
CVE-2020-8863Эта уязвимость позволяет злоумышленникам, находящимся в той же сети, обходить аутентификацию на уязвимых установках маршрутизаторов D-Link DIR-867, DIR-878 и DIR-882 с версией прошивки 1.10B04. Для эксплуатации этой уязвимости не требуется аутентификация. Конкретный недостаток существует в обработке запросов на вход в HNAP. Проблема возникает из-за отсутствия надлежащей реализации алгоритма аутентификации. Злоумышленник может использовать эту уязвимость для повышения привилегий и выполнения кода в контексте маршрутизатора. Was ZDI-CAN-9470.
CVE-2020-15633Эта уязвимость позволяет злоумышленникам, находящимся в той же сети, что и жертва, обходить аутентификацию на затронутых установках роутеров D-Link DIR-867, DIR-878 и DIR-882 с прошивкой 1.20B10_BETA. Для эксплуатации этой уязвимости аутентификация не требуется. Конкретная ошибка существует в обработке запросов HNAP. Проблема возникает из-за некорректной логики сопоставления строк при доступе к защищенным страницам. Злоумышленник может использовать эту уязвимость для повышения привилегий и выполнения кода в контексте роутера. Идентифицирована как ZDI-CAN-10835.
CVE-2019-8319Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема заключается в Command Injection, позволяющей удаленному злоумышленнику выполнить произвольный код и получить root-оболочку. Уязвимость Command Injection позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает вызов системной функции с ненадежным вводом из тела запроса для функции SetStaticRouteIPv4Settings API, как продемонстрировано метасимволами оболочки в поле Gateway.
CVE-2019-8318Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема представляет собой внедрение команд, позволяющее удаленному злоумышленнику выполнить произвольный код и получить оболочку root. Уязвимость внедрения команд позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает функцию twsystem с ненадежным вводом из тела запроса для функции SetSysEmailSettings API, как продемонстрировано метасимволами оболочки в поле SMTPServerPort.
CVE-2019-8317Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема представляет собой внедрение команд, позволяющее удаленному злоумышленнику выполнить произвольный код и получить оболочку root. Уязвимость внедрения команд позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает функцию system с ненадежным вводом из тела запроса для функции SetStaticRouteIPv6Settings API, как продемонстрировано метасимволами оболочки в поле DestNetwork.
CVE-2019-8316Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема представляет собой внедрение команд, позволяющее удаленному злоумышленнику выполнить произвольный код и получить оболочку root. Уязвимость внедрения команд позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает функцию system с ненадежным вводом из тела запроса для функции SetWebFilterSettings API, как продемонстрировано метасимволами оболочки в поле WebFilterURLs.
CVE-2019-8315Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема представляет собой внедрение команд, позволяющее удаленному злоумышленнику выполнить произвольный код и получить оболочку root. Уязвимость внедрения команд позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает функцию twsystem с ненадежным вводом из тела запроса для функции SetIPv4FirewallSettings API, как продемонстрировано метасимволами оболочки в поле SrcIPv4AddressRangeStart.
CVE-2019-8314Обнаружена проблема на устройствах D-Link DIR-878 с прошивкой 1.12A1. Эта проблема представляет собой внедрение команд, позволяющее удаленному злоумышленнику выполнить произвольный код и получить оболочку root. Уязвимость внедрения команд позволяет злоумышленникам выполнять произвольные команды ОС через специально созданный POST-запрос /HNAP1. Это происходит, когда любая функция HNAP API вызывает функцию system с ненадежным вводом из тела запроса для функции SetQoSSettings API, как продемонстрировано метасимволами оболочки в поле IPAddress.