CVE-2023-44694

O gateway de auditoria de comportamento D-Link DAR-7000 expõe um ponto de injeção de SQL em /log/mailrecvview.php: entrada controlada pelo atacante alcança uma consulta ao banco de dados sem filtragem, e a requisição é remota e não autenticada. A partir daí, um atacante pode ler ou manipular o banco de dados do gateway — incluindo, em um appliance de auditoria, os registros logados e quaisquer credenciais que ele armazene — e, dependendo da configuração do banco, SQLi em tais dispositivos frequentemente escala rumo à execução de comandos.

O DAR-7000 é hardware de rede corporativo envelhecido, e isso molda a ameaça: dispositivos nessa categoria estão muitas vezes sem suporte do fabricante, sem correção prevista, mas permanecem em serviço em pontos de estrangulamento da rede. Injeção não autenticada com um endpoint conhecido é facilmente automatizada, e um gateway de auditoria é um lugar especialmente sensível para perder o controle, já que ele vê o tráfego e os eventos que foi implantado para registrar.

Nosso ângulo é exposição mais ciclo de vida. Verificamos se algum DAR-7000 é alcançável a partir de redes não confiáveis e tratamos a provável ausência de correção como premissa de planejamento, o que empurra a resposta rumo a isolamento ou substituição em vez de uma correção. Onde um precisar permanecer online, o virtual patching em um controle intermediário para bloquear o caminho de injeção é um paliativo, não uma resolução, em hardware tão antigo.