DEV Community
·
POC — CVE-2024–10914 D-Link NAS `name` 参数中的命令注入漏洞
原文英文，约300词，阅读约需1分钟。
📝
内容提要
D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。攻击者可远程利用该漏洞，复杂度较高。受影响设备包括DNS-320、DNS-325等，需注意输入未充分清理。
🎯
关键要点
-
D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。
-
该漏洞允许攻击者远程利用，攻击复杂度较高。
-
受影响的设备包括DNS-320、DNS-320LW、DNS-325和DNS-340L。
-
漏洞主要存在于/account_mgr.cgi脚本中，name参数未充分清理输入。
-
该漏洞已公开，可能被利用。
-
使用Fofa等工具寻找潜在目标。
-
提供了克隆代码库和运行漏洞利用的命令。
❓
延伸问答
CVE-2024-10914漏洞影响哪些D-Link设备？
受影响的设备包括D-Link DNS-320、DNS-320LW、DNS-325和DNS-340L。
CVE-2024-10914漏洞的主要风险是什么？
该漏洞允许攻击者远程利用，可能导致命令注入，攻击复杂度较高。
如何利用CVE-2024-10914漏洞进行攻击？
可以使用提供的克隆代码库和运行漏洞利用的命令，具体命令为bash ./cve-2024-10914.sh -u <url>。
CVE-2024-10914漏洞的攻击复杂度如何？
攻击复杂度较高，利用该漏洞并不容易。
CVE-2024-10914漏洞的根本原因是什么？
漏洞主要存在于/account_mgr.cgi脚本中，name参数未充分清理输入，导致命令注入。
如何寻找潜在的受影响目标？
可以使用Fofa工具，查询条件为app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"。
🏷️
