POC - CVE-2024–10914- D-Link NAS के name पैरामीटर में कमांड इंजेक्शन भेद्यता

अवलोकन

D-Link DNS-320, DNS-320LW, DNS-325 और DNS-340L में 20241028 तक एक भेद्यता पाई गई। इसे गंभीर घोषित किया गया है। यह भेद्यता /cgi-bin/account_mgr.cgi?cmd=cgi_user_add फ़ाइल में फ़ंक्शन cgi_user_add को प्रभावित करती है। name तर्क का हेरफेर ओएस कमांड इंजेक्शन की ओर ले जाता है। हमला दूरस्थ रूप से शुरू किया जा सकता है। हमले की जटिलता काफी अधिक है। शोषण करना कठिन प्रतीत होता है। शोषण को सार्वजनिक किया गया है और इसका उपयोग किया जा सकता है।

प्रभावित उपकरण

• DNS-320 Version 1.00
• DNS-320LW Version 1.01.0914.2012
• DNS-325 Version 1.01, Version 1.02
• DNS-340L Version 1.08

प्रभावित घटक

भेद्यता account_mgr.cgi स्क्रिप्ट में स्थानीयकृत है, विशेष रूप से cgi_user_add कमांड के हैंडलिंग में। इस स्क्रिप्ट में name पैरामीटर इनपुट को पर्याप्त रूप से साफ नहीं करता है, जिससे कमांड निष्पादन की अनुमति मिलती है।

इसके बारे में पढ़ें — CVE-2024-10914

अस्वीकरण: यह प्रूफ ऑफ कॉन्सेप्ट (POC) केवल शैक्षिक और नैतिक परीक्षण उद्देश्यों के लिए बनाया गया है। इस टूल का उपयोग पूर्व आपसी सहमति के बिना लक्ष्यों पर हमला करने के लिए अवैध है। अंतिम उपयोगकर्ता की जिम्मेदारी है कि वह सभी लागू स्थानीय, राज्य और संघीय कानूनों का पालन करे। डेवलपर्स कोई देयता नहीं मानते हैं और इस प्रोग्राम के कारण होने वाले किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं।

आरंभ करना

लक्ष्य ढूँढना

संभावित लक्ष्य खोजने के लिए, Fofa (Shodan.io के समान) का उपयोग करें:

• Fofa Dork: app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"

रिपॉजिटरी क्लोन करना

सबसे पहले, रिपॉजिटरी क्लोन करें:

git clone https://github.com/yenyangmjaze/cve-2024-10914

एक्सप्लॉइट चलाएँ:

Linux / MacOs के लिए:

bash ./cve-2024-10914.sh -u <url>

Windows के लिए:

./cve-2024-10914.ps1 -u <url>