Luokitus: Kriittinen, Ratkaisu: Ei saatavilla, Hyödyntämisen kypsyys: Konseptitodiste, CVSSv3.1: 9.8, CVEt: CVE-2024-3274, CVE-2024-3273, CVE-2024-3272, Yhteenveto: CVE-2024-3272 ** EI TUE KUN MÄÄRITETTY ** Haavoittuvuus, joka on luokiteltu erittäin kriittiseksi, on löydetty D-Link DNS-320L, DNS-325, DNS-327L ja DNS-340L -laitteista versioon 20240403 asti. Tämä ongelma vaikuttaa joihinkin tuntemattomiin prosesseihin tiedostossa /cgi-bin/nas_sharing.cgi komponentissa HTTP GET -pyynnön käsittelijä. Argumentin user manipulointi syötteellä messagebus johtaa kovakoodattuihin tunnistetietoihin. Hyökkäys voidaan aloittaa etänä. Hyväksikäytöstä on julkaistu tietoja julkisesti, ja sitä voidaan käyttää. Tähän haavoittuvuuteen liitetty tunniste on VDB-259283. HUOM: Tämä haavoittuvuus vaikuttaa vain tuotteisiin, joita ylläpitäjä ei enää tue. HUOM: Valmistajaan otettiin yhteyttä aikaisin, ja he vahvistivat välittömästi, että tuote on elinkaarensa päässä. Se tulisi poistaa käytöstä ja korvata. CVE-2024-3273 ja CVE-2024-3274 ** EI TUE KUN MÄÄRITETTY ** Haavoittuvuus on löydetty D-Link DNS-320L, DNS-320LW ja DNS-327L -laitteista versioon 20240403 asti ja luokiteltu ongelmalliseksi. Tämä haavoittuvuus vaikuttaa tuntemattomaan toiminnallisuuteen tiedostossa /cgi-bin/info.cgi komponentissa HTTP GET -pyynnön käsittelijä. Manipulointi johtaa komentojen injektointiin ja tiedon paljastumiseen. Hyökkäys voidaan suorittaa etänä. Hyväksikäytöstä on julkaistu tietoja julkisesti, ja sitä voidaan käyttää. Tälle haavoittuvuudelle on annettu tunniste VDB-259285. HUOM: Tämä haavoittuvuus vaikuttaa vain tuotteisiin, joita ylläpitäjä ei enää tue. HUOM: Valmistajaan otettiin yhteyttä aikaisin, ja he vahvistivat välittömästi, että tuote on elinkaarensa päässä. Se tulisi poistaa käytöstä ja korvata. Katso myös: https://github.com/netsecfish/dlink
Classification: Critical, Solution: Unavailable, Exploit Maturity: Proof-of-Concept, CVSSv3.1: 9.8, CVEs: CVE-2024-3274, CVE-2024-3273, CVE-2024-3272, Summary: CVE-2024-3272 ** UNSUPPORTED WHEN ASSIGNED ** A vulnerability, which was classified as very critical, has been found in D-Link DNS-320L, DNS-325, DNS-327L and DNS-340L up to 20240403. This issue affects some unknown processing of the file /cgi-bin/nas_sharing.cgi of the component HTTP GET Request Handler. The manipulation of the argument user with the input messagebus leads to hard-coded credentials. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-259283. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. NOTE: Vendor was contacted early and confirmed immediately that the product is end-of-life. It should be retired and replaced. CVE-2024-3273 and CVE-2024-3274 ** UNSUPPORTED WHEN ASSIGNED ** A vulnerability has been found in D-Link DNS-320L, DNS-320LW and DNS-327L up to 20240403 and classified as problematic. Affected by this vulnerability is an unknown functionality of the file /cgi-bin/info.cgi of the component HTTP GET Request Handler. The manipulation leads to command injection and information disclosure . The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The identifier VDB-259285 was assigned to this vulnerability. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. NOTE: Vendor was contacted early and confirmed immediately that the product is end-of-life. It should be retired and replaced. See also: https://github.com/netsecfish/dlink
