Расширитель диапазона Wi-Fi D-Link допускает инъекцию команды и DoS-атаку

Расширитель диапазона Wi-Fi D-Link допускает инъекцию команды и DoS-атаку

Расширитель диапазона Wi-Fi D-Link допускает инъекцию команды и DoS-атаку

Популярная модель расширителя диапазона Wi-Fi — D-Link DAP-X1860 уязвима перед атаками, приводящими к отказу в обслуживании (DoS), а также к удалённой инъекции команд.

У D-Link DAP-X1860 есть тысячи отзывов на Amazon, устройство пользуется немалой популярностью. На официальном сайте D-Link расширитель диапазона Wi-Fi доступен для заказа.

Команда немецких исследователей выявила уязвимость, впоследствии получившую идентификатор CVE-2023-45208. Несмотря на постоянные попытки уведомить вендора о проблеме, реакции от D-Link, как и соответствующего патча, дождаться не удалось.

Корень бреши кроется в функциональности D-Link DAP-X1860, отвечающей за сетевое сканирование. Если точнее, устройство не может корректно парсить идентификаторы SSID, содержащие символ «‘» в имени, принимая эти имена за команды.

Дыра присутствует в функции parsing_xml_stasurvey библиотеки libcgifunc.so. Из-за неправильной обработки SSID условный злоумышленник может провести DoS-атаку или внедрить команду.

Для эксплуатации атакующему придётся создать точку Wi-Fi, чьё имя будет похоже на рядом расположенную легитимную сеть. Разница будет заключаться лишь в наличии символа «‘».

При попытке устройства подключиться к вредоносному SSID пользователь получит Error 500: Internal Server Error.

 

А если киберпреступник добавит SSID вторую секцию, которая уже будет содержать шелл-команды, разделённые «&&», D-Link DAP-X1860 будет вынужден выполнить эти команды.

К сожалению, расширитель диапазона Wi-Fi до сих пор уязвим, поскольку патча пока нет. Пользователям рекомендуют ограничить сетевое сканирование и выключать устройство, когда в его работе нет необходимости.

В Госдуму внесли второй пакет мер против телефонного мошенничества

Правительство внесло в Госдуму второй пакет законопроектов, направленных на противодействие телефонному и дистанционному мошенничеству. Он включает около 20 различных мер. Руководство нижней палаты пообещало рассмотреть инициативу в приоритетном порядке. Подготовка второго антимошеннического пакета началась в марте 2025 года — практически сразу после внесения в Госдуму первого.

Как указано в пояснительной записке, цель инициативы — «комплексное совершенствование мер противодействия преступлениям, совершаемым с использованием информационно-коммуникационных технологий».

Пакет законопроектов был внесен в Госдуму в пятницу вечером.

Среди мер, вошедших во второй пакет, первый вице-премьер Дмитрий Григоренко особо выделил следующие инициативы:

  • Введение самозапрета на входящие вызовы из-за рубежа.
  • Обязательная маркировка операторами связи звонков с иностранных номеров.
  • Ограничения на работу виртуальных АТС: их размещение только на территории России и обязательное использование Единой системы аутентификации и идентификации абонентов.
  • Внедрение системы учета IP-адресов.
  • Обязанность операторов связи передавать выявленные номера мошенников в государственную информационную систему «Антифрод».
  • Ограничение количества виртуальных сим-карт — не более 10 на одного абонента.
  • Ограничение количества банковских карт — до 20 на одного человека и не более 5 в одном банке.
  • Введение детских сим-карт с ограниченным набором сервисов.
  • Упрощение процедуры внесудебной блокировки фишинговых ресурсов (в настоящее время таким правом наделен только Банк России).
  • Изменение порядка восстановления доступа к порталу «Госуслуги»: воспользоваться можно будет только доверенными способами — через биометрическую идентификацию, мессенджер Max или при личном обращении в МФЦ.

Как заявил председатель Госдумы Вячеслав Володин 27 декабря, законопроект будет рассмотрен нижней палатой в приоритетном порядке. Его обсуждение запланировано на 12 января — первую пленарную сессию после новогодних каникул.

RSS: Новости на портале Anti-Malware.ru