CVE-2025-60697 in DIR-882
요약
\~에 의해 VulDB • 2026. 09. 07.
D-Link DIR-882 라우터 펌웨어(DIR882A1_FW102B02)의 `prog.cgi` 및 `rc` 바이너리 내에서 명령어 삽입 취약점이 존재합니다. `prog.cgi` 내의 `sub_4438A4` 함수는 사용자 제공 DDNS 매개변수(`ServerAddress`, `Hostname`)를 `nvram_safe_set`을 통해 NVRAM에 저장합니다. 이러한 값은 나중에 `rc`의 `start_DDNS_ipv4` 함수에서 `nvram_safe_get`을 사용하여 검색되며, 적절한 sanitization 없이 `twsystem()`을 통해 실행되는 DDNS 셸 명령어로 결합됩니다. 부분적인 문자열 비교가 수행되지만 이는 명령어 삽입을 방지하기에 불충분합니다. 인증되지 않은 원격 공격자는 라우터의 웹 인터페이스로 특별히 조작된 HTTP 요청을 전송하여 장치에서 임의의 명령어를 실행할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.