CVE-2022-26258

Esta es una falla de inyección de comandos en el router D-Link DIR-820L. La interfaz de administración web del dispositivo expone un manejador que procesa un HTTP POST al endpoint ccp/get-set, y pasa entrada controlada por el atacante a un comando del sistema sin sanitización. Un atacante remoto que pueda alcanzar la interfaz web envía un único POST diseñado y ejecuta comandos arbitrarios del sistema operativo en el router, sin autenticación, con el nivel de privilegio del demonio web, que en estos dispositivos es efectivamente el control total.

El DIR-820L es un router de consumo económico que hace tiempo dejó de tener soporte, y las unidades siguen implementadas en hogares y pequeñas oficinas con la administración a veces alcanzable desde la WAN. Esa combinación, un producto sin posibilidad de parcheo expuesto en el borde de la red, es precisamente lo que los operadores de botnets del linaje Mirai automatizan, reclutando dispositivos para DDoS y usándolos como proxies. Como no llegará un firmware corregido, la respuesta realista es retirar el dispositivo o, como mínimo, asegurarse de que la administración remota esté deshabilitada y la interfaz web nunca esté expuesta a internet. Trate cualquier DIR-820L alcanzable desde la WAN como ya comprometido.