oscarakaelvis/cve-2023-51119Contrôle d'accès inapproprié sur le routeur D-Link DIR-605L
Contrôle d'accès inapproprié sur le routeur D-Link DIR-605L
En raison d'un contrôle d'accès incorrect, une prise de contrôle du compte admin peut être effectuée sans aucune authentification en envoyant une requête dans des circonstances particulières (il suffit qu'un admin légitime soit connecté)
En réalité, toute action réalisable sur le panneau de configuration web du routeur peut être effectuée, y compris le changement du mot de passe de l'admin (menant à la prise de contrôle)
Cet exploit automatise tout le processus pour définir n'importe quel mot de passe pour l'utilisateur admin sur le routeur
Bon hacking :)
11/12/2023 : La vulnérabilité a été découverte
12/12/2023 : Signalée à Mitre
20/12/2023 : Pas encore de réponse de Mitre, signalé à D-Link dans le cadre d'une divulgation responsable
22/12/2023 : Vulnérabilité confirmée par D-Link, annonce de non-correction publiée (https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10368)
23/12/2023 : Lien de l'annonce du fournisseur partagé avec Mitre
04/01/2024 : Mitre a attribué le numéro CVE (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-51119)
07/01/2024 : Divulgation publique (https://twitter.com/OscarAkaElvis/status/1744042753707712916)
08/01/2024 : Création de l'exploit et de la vidéo PoC (https://twitter.com/OscarAkaElvis/status/1744452649011892566)
08/01/2024 : Exploit envoyé à Exploit-db, aucune réponse
21/04/2024 : Nouvelle soumission à Exploit-db
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-51119
https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10368
https://twitter.com/OscarAkaElvis/status/1744042753707712916
https://twitter.com/OscarAkaElvis/status/1744452649011892566
