CSIRT Toscana D-Link: PoC pubblico per lo sfruttamento della CVE-2024-10914 (AL01/241111/CSIRT-ITA) – Aggiornamento
Data:
14 Novembre 2024 08:52
Data di creazione: 11/11/2024 – 11:04
Sintesi
Disponibile un Proof of Concept (PoC) per la vulnerabilità CVE-2024-10914 presente in alcuni modelli di NAS D-Link.
Tale vulnerabilità – con score CVSS v3.x pari a 9.8 – potrebbe essere utilizzata per eseguire codice arbitrario sui dispositivi interessati tramite l’invio al NAS di una richiesta HTTP GET opportunamente predisposta.
Note (aggiornamento del 14/11/2024): la vulnerabilità CVE-2024-10914 risulta essere sfruttata attivamente in rete.
Stima d’impatto della vulnerabilità sulla comunità di riferimento: GRAVE/ROSSO (77,69/100)1.
Tipologia
- Arbitrary Code Execution
Prodotti e/o versioni affette
D-Link NAS
- DNS-120
- DNR-202L
- DNS-315L
- DNS-320
- DNS-320L
- DNS-320LW
- DNS-321
- DNR-322L
- DNS-323
- DNS-325
- DNS-326
- DNS-327L
- DNR-326
- DNS-340L
- DNS-343
- DNS-345
- DNS-726-4
- DNS-1100-4
- DNS-1200-05
- DNS-1550-04
Azioni di mitigazione
Si evidenzia che per i prodotti vulnerabili il vendor non rilascerà alcun workaround e/o patch, considerata la relativa data di fine supporto (EOL). In linea con le dichiarazioni del vendor, si suggerisce di migrare i device attualmente in uso con dispositivi supportati.
Identificatori univoci vulnerabilità
Riferimenti
https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10413
1La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.