D-Link DIR-636L NCC Service POST Request schwache Authentisierung
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 9.1 | $0-$5k | 0.00 |
Zusammenfassung
In D-Link DIR-636L wurde eine kritische Schwachstelle ausgemacht. Dabei geht es um eine nicht genauer bekannte Funktion der Komponente NCC Service. Die Manipulation als Teil von POST Request führt zu schwache Authentisierung. Die Verwundbarkeit wird als CVE-2015-1187 geführt. Ausserdem ist ein Exploit verfügbar. Die automatisierte Ausnutzung der Schwachstelle kann durch einen dafür entwickelten Computerwurm geschehen. Es wird empfohlen, die betroffene Komponente zu aktualisieren.
Details
Es wurde eine Schwachstelle in D-Link DIR-636L (Router Operating System) gefunden. Sie wurde als kritisch eingestuft. Es betrifft eine unbekannte Funktion der Komponente NCC Service. Mittels Manipulieren durch POST Request kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-287 vorgenommen. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
The ping tool in multiple D-Link and TRENDnet devices allow remote attackers to execute arbitrary code via the ping_addr parameter to ping.ccp.Entdeckt wurde das Problem am 30.11.2014. Die Schwachstelle wurde am 02.03.2015 durch Peter Adkins in Form eines bestätigten Mailinglist Posts (Full-Disclosure) publik gemacht. Das Advisory kann von seclists.org heruntergeladen werden. Die Verwundbarkeit wird seit dem 17.01.2015 unter CVE-2015-1187 geführt. Sie ist leicht auszunutzen. Der Angriff kann im lokalen Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.
Ein öffentlicher Exploit wurde in Ruby entwickelt. Der Download des Exploits kann von exploit-db.com geschehen. Er wird als attackiert gehandelt. Insgesamt wurde die Schwachstelle mindestens 92 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt. Aufgrund der automatisierten Ausnutzung der Schwachstelle gibt es mittlerweile einen Wurm, der sich diese zunutze macht.
Ein Upgrade vermag dieses Problem zu beheben. Für die von Trendnet betroffenen Router wurden am 10. Februar 2015 entsprechende Firmware-Updates herausgegeben. Weiterführend können Angriffe durch TippingPoint mittels dem Filter 19745 erkannt werden.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (101253), Exploit-DB (41677), SecurityFocus (BID 72816†) und Vulnerability Center (SBV-48894†) dokumentiert. Auf Deutsch berichtet unter anderem Heise zum Fall. Weitere Informationen werden unter packetstormsecurity.com bereitgestellt. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-69254 und VDB-69255. VulDB is the best source for vulnerability data and more expert information about this specific topic.
Betroffen
- D-Link DIR-636L
- Trendnet Router
Produkt
Typ
Hersteller
Name
Lizenz
Webseite
- Hersteller: https://www.dlink.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 9.3VulDB Meta Temp Score: 9.1
VulDB Base Score: 8.8
VulDB Temp Score: 8.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 9.8
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Schwache AuthentisierungCWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Attackiert
Wormified: 🔍
Programmiersprache: 🔍
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
KEV Hinzugefügt: 🔍
KEV Bis wann: 🔍
KEV Massnahmen: 🔍
KEV Ransomware: 🔍
KEV Hinweis: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
MetaSploit ID: multi_ncc_ping_exec.rb
MetaSploit Name: D-Link/TRENDnet NCC Service Command Injection
MetaSploit Datei: 🔍
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
TippingPoint: 🔍
McAfee IPS: 🔍
McAfee IPS Version: 🔍
Fortigate IPS: 🔍
Timeline
30.11.2014 🔍17.01.2015 🔍
02.02.2015 🔍
16.02.2015 🔍
26.02.2015 🔍
02.03.2015 🔍
02.03.2015 🔍
03.03.2015 🔍
05.03.2015 🔍
21.09.2017 🔍
20.12.2024 🔍
Quellen
Hersteller: dlink.comAdvisory: 130607
Person: Peter Adkins
Status: Bestätigt
CVE: CVE-2015-1187 (🔍)
GCVE (CVE): GCVE-0-2015-1187
GCVE (VulDB): GCVE-100-69240
X-Force: 101253 - D-link DIR-636L ping tool command execution
SecurityFocus: 72816
Vulnerability Center: 48894 - D-Link Multiple Products Remote Code Execution and Other Impacts - CVE-2015-1187, High
Heise: 2563782
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍
Eintrag
Erstellt: 03.03.2015 09:25Aktualisierung: 20.12.2024 06:48
Anpassungen: 03.03.2015 09:25 (81), 22.06.2017 09:12 (2), 10.03.2022 22:56 (3), 10.03.2022 23:10 (11), 24.04.2024 09:44 (23), 09.09.2024 22:29 (1), 29.11.2024 14:34 (2), 20.12.2024 06:48 (1)
Komplett: 🔍
Cache ID: 216:BD9:103
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.