Flaw critique D-Link : grave vulnérabilité non corrigée
Une faille critique découverte dans plusieurs modèles populaires de NAS D-Link
Une faille de sécurité critique
Un chercheur en sécurité, Netsecfish, a découvert une faille critique dans plusieurs modèles populaires de NAS D-Link qui pourrait permettre à un attaquant non authentifié d’exécuter une attaque par injection de commandes via une requête HTTP GET. Selon le site Notion de Netsecfish, la vulnérabilité se trouve dans le script account_mgr.cgi, où l’attaquant pourrait ajouter une entrée malveillante dans le paramètre de nom pour exploiter la faille. Cette faille, référencée dans la base de données de vulnérabilités nationale (NVD) sous le nom de CVE-2024-10914, a été déclarée comme une faille critique avec un score de gravité de 9.2.
Modèles D-Link affectés
Les modèles D-Link suivants sont concernés par ce problème : DNS-320 Version 1.00, DNS-320LW Version 1.01.0914.2012, DNS-325 Version 1.01, Version 1.02, et DNS-340L Version 1.08. Malheureusement, D-Link a refusé de publier un correctif de sécurité pour ce problème, notant que “Les produits ayant atteint leur fin de vie ne reçoivent plus de mises à jour logicielles et de correctifs de sécurité et ne sont plus pris en charge par D-Link.” Les modèles concernés ont tous atteint leur date de fin de vie/fin de service en 2020, et “D-Link US recommande de mettre au rebut et de remplacer les appareils D-Link ayant atteint la fin de vie/fin de service.”
Recommandations pour les utilisateurs
Si vous utilisez l’un de ces modèles de NAS, il est fortement recommandé de remplacer votre système NAS par un modèle qui continue de recevoir des correctifs du fabricant. Si cela n’est pas possible pour le moment, Netsecfish suggère de restreindre l’accès au menu/interface de configuration de votre NAS à des adresses IP de confiance. Vous pouvez également isoler votre NAS d’Internet public pour vous assurer que seuls les utilisateurs autorisés peuvent interagir avec lui.
En outre, vous pouvez rechercher un firmware tiers prenant en charge le matériel affecté. Cependant, assurez-vous de télécharger le firmware à partir d’une source fiable. Si vous pensez qu’il est temps de vous procurer un nouveau NAS pour votre domicile, votre bureau ou votre entreprise, vous devriez consulter notre liste des meilleurs NAS avant d’en choisir un à installer.
Source : www.tomshardware.com
