CVE-2024-10914 - D-Link 원격 코드 실행 (RCE)

이 저장소는 D-Link NAS 장치에 영향을 미치는 중요한 취약점에 대한 개념 증명(PoC) 익스플로잇을 포함합니다. CVE-2024-10914로 추적되는 이 버그는 다음 모델에 영향을 미칩니다:

• D-Link DNS-320
• D-Link DNS-320LW
• D-Link DNS-325
• D-Link DNS-340L

이 취약점은 /cgi-bin/account_mgr.cgi 스크립트의 일부인 cgi_user_add 함수에 있습니다. 버그는 name 매개변수가 시스템 명령어에 사용되기 전에 제대로 검사되지 않기 때문에 발생합니다. 이로 인해 공격자는 name 필드에 악성 입력(OS 명령어)을 보내 장치에서 원하는 모든 것을 실행할 수 있습니다. 예를 들어, 공격자는 name 필드 경로인 /cgi-bin/account_mgr.cgi?cmd=cgi_user_add&name=%27;id;%27를 통해 id 명령어를 보내거나 실행할 수 있습니다.

면책 조항

이 PoC는 테스트 및 학습 목적으로만 제공됩니다. 본 코드의 불법적이거나 해로운 사용에 대해 책임을 지지 않습니다. 취약점을 연구하거나 테스트할 때는 항상 책임감 있게 행동하십시오.