60.000 dispositivos de almacenamiento NAS de D-Link esperan una actualización que nunca saldrá

Más de 60 000 dispositivos de almacenamiento de la compañía D-Link, que han alcanzado el final de su ciclo de vida (EoL), se han vuelto vulnerables debido a una deficiencia de seguridad del tipo Command Injection. La vulnerabilidad, identificada como CVE-2024-10914, tiene una calificación crítica de 9,2 puntos en la escala CVSS y está relacionada con una insuficiente depuración del parámetro de nombre en el comando «cgi_user_add».

Un atacante no autorizado puede explotar esta vulnerabilidad para ejecutar comandos arbitrarios enviando solicitudes HTTP especialmente diseñadas a los dispositivos. La vulnerabilidad afecta a varios modelos de NAS de D-Link, populares entre las pequeñas empresas: DNS-320 (versión 1.00), DNS-320LW (versión 1.01.0914.2012), DNS-325 (versiones 1.01 y 1.02) y DNS-340L (versión 1.08).

Un investigador de ciberseguridad de Netsecfish publicó detalles sobre cómo explotar esta vulnerabilidad. Para ello, se debe enviar al dispositivo NAS una solicitud HTTP especial con comandos maliciosos inyectados en el parámetro de nombre. También se proporcionó un ejemplo de comando cURL que demuestra el proceso de explotación.

Durante su análisis, Netsecfish descubrió más de 61 000 dispositivos D-Link vulnerables en 41 097 direcciones IP únicas. Como resultado, una enorme cantidad de datos en todos estos dispositivos está en riesgo debido a su accesibilidad pública.

En un boletín de seguridad reciente, la empresa D-Link confirmó que no se planea una corrección para CVE-2024-10914, y recomendó a los usuarios que retiren los dispositivos del servicio o limiten su disponibilidad desde internet.

En abril de este año, el mismo investigador descubrió una vulnerabilidad similar — CVE-2024-3273, relacionada con Command Injection y una puerta trasera incorporada, que afecta a los mismos modelos de NAS de D-Link. En ese momento, los resultados del escaneo en línea mostraron más de 92 000 dispositivos vulnerables. D-Link anteriormente confirmó que dejó de fabricar dispositivos NAS y no proporcionará más soporte para ellos.