yenyangmjaze/cve-2024-10914Exploit proof-of-concept per CVE-2024-10914, una vulnerabilità di iniezione di comandi nei dispositivi NAS D-Link tramite lo script account_mgr.cgi. Include script di sfruttamento automatizzati per Linux/macOS e Windows.
name per D-Link NAS
È stata trovata una vulnerabilità in D-Link DNS-320, DNS-320LW, DNS-325 e DNS-340L fino al 20241028. È stata dichiarata critica. La funzione interessata da questa vulnerabilità è cgi_user_add del file /cgi-bin/account_mgr.cgi?cmd=cgi_user_add. La manipolazione dell'argomento name porta a un'iniezione di comandi del sistema operativo. L'attacco può essere lanciato da remoto. La complessità di un attacco è piuttosto alta. Lo sfruttamento sembra essere difficile. L'exploit è stato divulgato al pubblico e può essere utilizzato.
La vulnerabilità è localizzata nello script account_mgr.cgi, in particolare nella gestione del comando cgi_user_add. Il parametro name in questo script non sanifica adeguatamente l'input, consentendo l'esecuzione di comandi.
Leggi di più — CVE-2024-10914
Disclaimer: Questa Proof of Concept (POC) è realizzata esclusivamente a scopo educativo e di test etico. L'utilizzo di questo strumento per attaccare bersagli senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per usi impropri o danni causati da questo programma.
Per trovare potenziali bersagli, usa Fofa (simile a Shodan.io):
app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"
Prima, clona il repository:
git clone https://github.com/yenyangmjaze/cve-2024-10914
Esegui l'Exploit:
bash ./cve-2024-10914.sh -u <url>
./cve-2024-10914.ps1 -u <url>
