D-Link

D-Link は、リモート攻撃者が認証をバイパスして任意のコードを実行できる可能性がある D-View 8 ネットワーク管理スイートの 2 つの重大度の脆弱性を修正しました。

D-View は、台湾のネットワーキング ソリューション ベンダー D-Link によって開発されたネットワーク管理スイートで、パフォーマンスの監視、デバイス構成の制御、ネットワーク マップの作成、および一般にネットワークの管理と管理の効率化と時間を短縮するために、あらゆる規模の企業で使用されています。消費する。

トレンドマイクロのゼロデイイニシアティブ(ZDI)に参加しているセキュリティ研究者は、昨年末にD-Viewに影響を与える6つの欠陥を発見し、2022年12月23日にベンダーに報告した。

発見された脆弱性のうち 2 つは重大度がクリティカル (CVSS スコア: 9.8) であり、認証されていない攻撃者が影響を受けるインストールに対して強い影響力を与えることになります。

最初の欠陥はCVE-2023-32165として追跡されており、ファイル操作で使用する前にユーザー指定のパスが適切に検証されていないことが原因で発生するリモート コード実行の欠陥です。

攻撃者がこの脆弱性を悪用すると、SYSTEM 権限でコードを実行する可能性があります。Windows の場合、コードは最高の権限で実行され、システムの完全な乗っ取りが可能になる可能性があります。

2 番目の重大な欠陥は、識別子CVE-2023-32169が付けられており、ソフトウェアの TokenUtils クラスでハードコーディングされた暗号キーを使用することで生じる認証バイパスの問題です。

この欠陥を悪用すると、権限昇格、情報への不正アクセス、ソフトウェアの構成や設定の変更、さらにはバックドアやマルウェアのインストールが可能になります。

D-Link は、ZDI によって報告された 6 つの欠陥すべてに関するアドバイザリをリリースしました。これらは D-View 8 バージョン 2.0.1.27 以下に影響を与え、管理者に 2023 年 5 月 17 日にリリースされる修正バージョン 2.0.1.28 にアップグレードするよう促しています。

D-Link のセキュリティ情報には、「報告されたセキュリティ問題を D- Link が認識するとすぐに、当社は直ちに調査を開始し、セキュリティ パッチの開発を開始しました」と記載されています。

ベンダーはすべてのユーザーにセキュリティアップデートをインストールすることを「強く推奨」しているが、発表では、このパッチは「ベータ版ソフトウェアまたはホットフィックスリリース」であり、まだ最終テスト中であるとも警告している。

これは、2.0.1.28 にアップグレードすると問題が発生したり、D-View が不安定になったりする可能性がありますが、欠陥の深刻さが潜在的なパフォーマンスの問題を上回る可能性があることを意味します。

同社はまた、対応するファームウェアアップデートをダウンロードする前に、製品の底面ラベルまたはWeb設定パネルをチェックして、製品のハードウェアリビジョンを確認するようユーザーに推奨しています。