공격자가 인증되지 않은 명령 주입 취약점 악용해 D-Link VPN 라우터를 손상시킬 수 있는 것으로 드러났다.

디지털디펜스 보안 연구원은 D-Link VPN 라우터에서 명령 주입 결함 및 인증 된 crontab 주입 결함을 포함해 세 가지 취약점을 발견했다.

전문가들은 처음에 펌웨어 버전 3.17을 실행하는 DSR-250 라우터 제품군의 결함을 발견했으며, 추가 조사를 통해 이러한 취약점이 D-Link DSR-150, DSR-250, DSR-500 및 DSR을 포함한 다른 장치에도 영향을 미치는지 확인했다.

펌웨어 버전 3.17 이하를 실행하는 1000AC VPN 라우터에서 가장 심각한 결함은 루트 권한으로 명령을 실행하기 위해 LAN 또는 WAN을 통해 통합 서비스 라우터 웹 인터페이스에 액세스하기 위해 공격자가 악용 할 수 있는 인증되지 않은 명령 삽입 취약점이다.

D-Link 측은 "LAN 또는 WAN에서 웹 인터페이스에 액세스 할 수 있는 인증되지 않은 사용자가 는 루트 권한으로 임의의 명령을 삽입 할 수 있다”고 경고했다.

공격자가 이 결함을 악용하면 인증되지 않은 상태에서 라우터를 장악 할 수 있고, 그런 다음 공격자는 트래픽을 가로 채 수정하거나 DoS(서비스 거부) 공격을 할 수 있다.

D-Link는 2020 년 12월 중순에 이 보안취약점을 수정하기 위해 보안 업데이트를 출시 할 계획이다.

★정보보안 대표 미디어 데일리시큐!★