CVE-2025-60698 in DIR-882
요약
\~에 의해 VulDB • 2026. 07. 27.
D-Link DIR-882 라우터 펌웨어 DIR882A1_FW102B02의 `prog.cgi` 및 `rc` 바이너리에서 명령어 삽입 취약점이 존재합니다. `prog.cgi` 내의 `sub_432F60` 함수는 사용자가 제공한 `SetSysLogSettings/IPAddress` 값을 `nvram_safe_set("SysLogRemote_IPAddress", ...)`를 통해 NVRAM에 저장합니다. 이러한 값은 나중에 `rc`의 `sub_448DCC` 함수에서 `nvram_safe_get`을 사용하여 검색되며, 아무런 검증(sanitization) 없이 셸 명령어로 결합되어 `twsystem()`을 통해 실행됩니다. 인증되지 않은 원격 공격자는 라우터 웹 인터페이스로 특별히 조작된 HTTP 요청을 전송하여 장치에서 임의의 명령어를 실행할 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.