美国政府警告 D-Link 路由器安全漏洞——立即修补，否则可能付出代价

美国网络安全和基础设施安全局 (CISA) 已将在某些 D-Link 路由器中发现的两个漏洞添加到其已知利用漏洞 (KEV) 数据库中，这意味着它有证据表明存在野外滥用行为。

这两个漏洞被跟踪为 CVE-20214-100005 和 CVE-2021-40655。 前者是 D-Link DIR-600 路由器中发现的跨站点请求伪造 (CSRF) 缺陷，而后者是 D-Link DIR-605 路由器中发现的信息泄露缺陷。 前者允许威胁行为者更改路由器配置，而后者则可以窃取登录凭据。

CISA 没有详细说明是谁或如何在野外利用这些漏洞，但确实给了联邦机构 2024 年 6 月 6 日解决该问题的最后期限。

可用补丁

修复缺陷的最佳方法是修补受感染的设备。 该跨站请求伪造漏洞已经存在了近十年，首次报道是在 2015 年。还值得一提的是，易受此漏洞影响的 D-Link DIR-600 设备已经到了生命的尽头。 -生命状态，因此不再接收更新或安全补丁。

在这些端点中发现的任何新漏洞都将仍未得到解决，因此此时最安全的做法是将它们替换为仍在接收供应商更新和安全补丁的新型号。

CSRF 缺陷也不是游戏。 它被标记为“关键”，本质上允许威胁行为者远程劫持管理员的身份验证，以请求创建管理员帐户或通过精心设计的配置模块启用远程管理。 此外，攻击者可以利用该缺陷激活新的配置设置，或通过 ping 操作向diagnostic.php 发送 ping。

另一方面，CVE-2021-40655 虽然允许攻击者获取一些登录凭据，但已被标记为“有问题”。

通过 黑客新闻

TechRadar Pro 的更多内容