yenyangmjaze/cve-2024-10914
name-Parameter für D-Link NAS
In D-Link DNS-320, DNS-320LW, DNS-325 und DNS-340L bis einschließlich 20241028 wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Betroffen von dieser Schwachstelle ist die Funktion cgi_user_add der Datei /cgi-bin/account_mgr.cgi?cmd=cgi_user_add. Die Manipulation des Arguments name führt zu einer OS-Befehlsinjizierung. Der Angriff kann remote ausgeführt werden. Die Angriffskomplexität ist recht hoch. Die Ausnutzung scheint schwierig zu sein. Der Exploit wurde öffentlich offengelegt und kann verwendet werden.
Die Schwachstelle ist im Skript account_mgr.cgi lokalisiert, insbesondere bei der Verarbeitung des Befehls cgi_user_add. Der Parameter name in diesem Skript bereinigt die Eingabe nicht ausreichend, wodurch eine Befehlsausführung möglich ist.
Mehr dazu — CVE-2024-10914
Haftungsausschluss: Dieses Proof of Concept (POC) dient nur zu Bildungs- und Ethiktestzwecken. Die Verwendung dieses Tools zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.
Verwenden Sie Fofa (ähnlich wie Shodan.io), um potenzielle Ziele zu finden:
app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"
Klonen Sie zuerst das Repository:
git clone https://github.com/yenyangmjaze/cve-2024-10914
Exploit ausführen:
bash ./cve-2024-10914.sh -u <url>
./cve-2024-10914.ps1 -u <url>
