Xakep #305. Многошаговые SQL-инъекции
Злоумышленники уже атакуют более 92 000 устаревших устройств NAS компании D-Link, которые доступны через интернет. Дело в том, что эти NAS уязвимы перед инъекцией произвольных команд, а также содержат жестко закодированный бэкдор-аккаунт.
Напомним, что уязвимости в нескольких моделях NAS компании D-Link были обнаружены в минувшие выходные.
Уязвимости получили идентификаторы CVE-2024-3272 и CVE-2024-3273. Они представляют собой жестко закодированный бэкдор (имя пользователя messagebus и пустой пароль), а также инъекции команд через параметр system (путем добавления base64-команды через HTTP GET-запрос). В итоге злоумышленники получают возможность удаленно выполнять произвольные команды на устройствах и могут полностью их скомпрометировать.
Сообщалось, что перед багами уязвимы устройства следующих моделей:
- DNS-320L — версия 1.11, 1.03.0904.2013, 1.01.0702.2013;
- DNS-325 — версия 1.01;
- DNS-327L — версия 1.09, 1.00.0409.2013;
- DNS-340L — версия 1.08.
Так как поддержка этих девайсов уже прекращена, производитель сообщил, что не намерен выпускать патчи. Вместо этого в D-Link посоветовали «вывести эти продукты из эксплуатации и заменить продуктами, которые получают обновления прошивки».
Как теперь предупредили специалисты из GreyNoise и ShadowServer, уязвимые NAS уже находятся под атаками. Хакеры объединили упомянутые выше уязвимости в цепочку и используют их для развертывания версии малвари Mirai (skid.x86). Исследователи отмечают, что Mirai, как правило, используется для создания ботнетов, которые затем могут применяться для организации мощных масштабных DDoS-атак.
Так как описание проблем и PoC-эксплоит уже доступны публично, эксперты призывают владельцев NAS как можно скорее отключить или заменить проблемные устройства, или хотя бы скрыть их за брандмауэром.
