CVE-2022-26258

Esta é uma falha de injeção de comando no roteador D-Link DIR-820L. A interface de gerenciamento web do dispositivo expõe um handler que processa um HTTP POST para o endpoint ccp/get-set, e ele passa a entrada controlada pelo atacante para um comando do sistema sem sanitização. Um atacante remoto capaz de alcançar a interface web envia um único POST elaborado e executa comandos arbitrários do sistema operacional no roteador, sem autenticação, no nível de privilégio do daemon web, o que nesses dispositivos é efetivamente controle total.

O DIR-820L é um roteador de consumo barato há muito fora de suporte, e as unidades permanecem implantadas em residências e pequenos escritórios com o gerenciamento por vezes acessível pela WAN. Essa combinação, um produto sem correção exposto na borda da rede, é precisamente o que operadores de botnet da linhagem Mirai automatizam para atacar, recrutando dispositivos para DDoS e usando-os como proxies. Como nenhum firmware corrigido está por vir, a resposta realista é aposentar o dispositivo ou, no mínimo, garantir que a administração remota esteja desabilitada e que a interface web nunca seja exposta à internet. Trate qualquer DIR-820L acessível pela WAN como já comprometido.