A D-Link recusou-se a corrigir a vulnerabilidade no NAS antigo e recomendou a compra de novo armazenamento

A D-Link não tem planos de corrigir uma vulnerabilidade crítica que foi descoberta em seus sistemas herdados de armazenamento conectado à rede (NAS) que permite a injeção de comando por meio de uma exploração. Em vez disso, o fabricante recomenda que os proprietários dos dispositivos afetados mudem para modelos mais recentes que não sejam afetados por este problema.

Fonte da imagem: D-Link

Estamos falando da vulnerabilidade CVE-2024-10914, que recebeu classificação de gravidade crítica de 9,2 pontos e foi descoberta por especialistas da Netsecfish. A vulnerabilidade está presente no script account_mgr.cgi, onde um invasor pode ajustar o parâmetro name de uma forma especial para realizar uma exploração. Em outras palavras, um usuário não autenticado tem a capacidade de injetar comandos shell arbitrários enviando solicitações HTTP GET ao dispositivo afetado.

A mensagem diz que o problema afeta vários modelos de armazenamento em rede D-Link: DNS-320 versão 1.00, DNS-320LW versão 1.01.0914.2012, DNS-325 versão 1.01 e DNS-340L versão 1.08. A má notícia para os usuários desses dispositivos é que a D-Link não pretende lançar um patch para corrigir a vulnerabilidade mencionada. Isso ocorre porque todos os dispositivos NAS afetados chegaram ao fim do período de suporte e não estão mais recebendo atualizações de software.

O fabricante recomenda que os proprietários dos dispositivos NAS afetados mudem rapidamente para modelos mais atuais. Aqueles que não conseguem fazer isso rapidamente devem isolar seus dispositivos da Internet ou estabelecer regras de acesso mais rígidas para eles. Você também pode tentar encontrar firmware alternativo de desenvolvedores terceirizados, mas neste caso, antes de baixá-lo, verifique se o firmware é confiável e seguro.