D-Link NAS 设备中的命令注入和后门账户

漏洞概述：

该漏洞影响多款 D-Link NAS 设备，包括 DNS-340L、DNS-320L、DNS-327L 和 DNS-325 等型号。漏洞位于 nas_sharing.cgi URI 中，主要由两个问题导致：一个由硬编码凭据促成的后门，以及一个通过 system 参数触发的命令注入漏洞。这种利用可能导致在受影响的 D-Link NAS 设备上执行任意命令，攻击者通过指定命令即可获取敏感信息、修改系统配置或造成拒绝服务，影响互联网上超过 92,000 台设备。

对应的 CWE

CWE-77（命令注入）和 CWE-798（使用硬编码凭据）。

受影响设备：

• DNS-320L Version 1.11, Version 1.03.0904.2013, Version 1.01.0702.2013
• DNS-325 Version 1.01
• DNS-327L Version 1.09, Version 1.00.0409.2013
• DNS-340L Version 1.08

漏洞详情：

该漏洞存在于 nas_sharing.cgi CGI 脚本中，会导致以下问题：

1. 通过用户名和密码暴露的后门：请求中包含用户名（user=messagebus）和空密码字段（passwd=）参数。这表明存在一个无需正确身份验证即可进行未授权访问的后门。
2. 通过 system 参数进行的命令注入：请求中的 system 参数携带一个 base64 编码的值，解码后看起来是一条命令。

漏洞利用：

构造恶意 HTTP 请求：准备一个针对 /cgi-bin/nas_sharing.cgi 端点的 HTTP GET 请求。

GET /cgi-bin/nas_sharing.cgi?user=messagebus&passwd=&cmd=15&system=<BASE64_ENCODED_COMMAND_TO_BE_EXECUTED>

实际结果

影响：

成功利用此漏洞可能允许攻击者在系统上执行任意命令，进而可能导致未经授权访问敏感信息、修改系统配置或造成拒绝服务。

修复建议：

• 应用设备制造商提供的可用补丁和更新。