verylazytech/cve-2024-10914PoC - CVE-2024–10914- Befehlsinjizierungsschwachstelle im Parameter `name` für D-Link NAS
name-Parameter für D-Link NAS
Eine Schwachstelle wurde in D-Link DNS-320, DNS-320LW, DNS-325 und DNS-340L bis zum 20241028 gefunden. Sie wurde als kritisch eingestuft. Betroffen von dieser Schwachstelle ist die Funktion cgi_user_add der Datei /cgi-bin/account_mgr.cgi?cmd=cgi_user_add. Die Manipulation des Arguments name führt zu einer OS-Befehlsinjektion. Der Angriff kann remote gestartet werden. Die Komplexität eines Angriffs ist ziemlich hoch. Die Ausnutzung scheint schwierig zu sein. Der Exploit wurde der Öffentlichkeit zugänglich gemacht und kann verwendet werden.
Die Schwachstelle ist im Skript account_mgr.cgi lokalisiert, insbesondere in der Verarbeitung des Befehls cgi_user_add. Der Parameter name in diesem Skript bereinigt die Eingabe nicht ausreichend, was die Befehlsausführung ermöglicht.
Mehr dazu — CVE-2024-10914
Haftungsausschluss: Dieses Proof of Concept (POC) dient ausschließlich zu Bildungs- und ethischen Testzwecken. Die Verwendung dieses Werkzeugs zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.
Um potenzielle Ziele zu finden, verwenden Sie Fofa (ähnlich wie Shodan.io):
app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"
Klonen Sie zuerst das Repository:
git clone https://github.com/verylazytech/CVE-2024-10914
Führen Sie den Exploit aus:
bash ./cve-2024-10914.sh -u <url>
./cve-2024-10914.ps1 -u <url>
