Kein Patch: D-Link lässt zehntausende Nutzer im Regen stehen

D-Link will eine kürzlich entdeckte Sicherheitslücke nicht schließen. Offenbar scheint es dem Unternehmen den Aufwand nicht wert, da "nur" um die 60.000 Nutzer betroffen sein könnten. Diese müssen sich nun anders gegen mögliche Probleme wappnen.

Angriff per GET-Anfrage

Die Schwachstelle, die unter CVE-2024-10914 registriert ist, betrifft ältere Netzwerkspeichergeräte (NAS), die vor allem bei kleineren Unternehmen im Einsatz sind. Solche Systeme werden in der Regel deutlich seltener ausgetauscht als etwa Arbeitsplatzrechner und haben entsprechend längere Lebenszyklen.

Die Schwachstelle, die mit einem kritischen Schweregrad von 9,2 bewertet wurde, erlaubt es Angreifern, Befehle in das System einzuschleusen und auszuführen. Dies geschieht über das unsachgemäße Filtern des Parameters "name" im cgi_user_add-Befehl. Durch gezielt manipulierte HTTP-GET-Anfragen können Angreifer ohne Authentifizierung beliebige Shell-Befehle auf den Geräten ausführen, berichtet das US-Magazin BleepingComputer.


Die betroffenen Modelle sind:


Laut eines Berichts des Sicherheitsforschers Netsecfish besteht die Möglichkeit, die Schwachstelle auszunutzen, indem eine manipulierte HTTP GET-Anfrage an die NAS-Geräte gesendet wird, die den schadhaften Code im "name"-Parameter enthält. Ein einfaches Beispiel für einen solchen Angriff erfolgt über den Befehl:

Empfehlung: Ausmustern

Netsecfish fand durch eine Suche auf der Sicherheitsplattform FOFA mehr als 60.000 betroffene D-Link NAS-Geräte, die über 41.000 verschiedene IP-Adressen verteilt sind. D-Link bestätigte inzwischen, dass es für diese Schwachstelle keine Lösung in Form eines Sicherheitsupdates geben wird, da die betroffenen Geräte nicht mehr offiziell unterstützt werden.

In einem Sicherheitshinweis empfahl D-Link den Nutzern, diese Geräte nach Möglichkeit auszumustern. Falls das momentan nicht möglich ist, sollten Anwender die Geräte zumindest vom öffentlichen Internet trennen oder unter strengere Zugriffskontrollen stellen, um das Risiko zu minimieren.

Sollte es trotzdem zu Sicherheitsvorfällen bei den Nutzern kommen, erwartet D-Link wohl zumindest keine Nachteile für das eigene Geschäft mehr. Denn das Unternehmen ist aus Produktion und Vertrieb von NAS-Systemen ausgestiegen.


Siehe auch: