DEV Community ·

POC — CVE-2024–10914 D-Link NAS `name` 参数中的命令注入漏洞

Q: CVE-2024-10914漏洞的攻击复杂度如何？

攻击复杂度较高，利用该漏洞并不容易。

💡 原文英文，约300词，阅读约需1分钟。

📝

内容提要

D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。攻击者可远程利用该漏洞，复杂度较高。受影响设备包括DNS-320、DNS-325等，需注意输入未充分清理。

🎯

关键要点

D-Link DNS-320等设备存在CVE-2024-10914命令注入漏洞，影响cgi_user_add功能。
该漏洞允许攻击者远程利用，攻击复杂度较高。
受影响的设备包括DNS-320、DNS-320LW、DNS-325和DNS-340L。
漏洞主要存在于/account_mgr.cgi脚本中，name参数未充分清理输入。
该漏洞已公开，可能被利用。
使用Fofa等工具寻找潜在目标。
提供了克隆代码库和运行漏洞利用的命令。

🔎

延伸解读

漏洞影响范围

CVE-2024-10914漏洞影响多个D-Link NAS设备，包括DNS-320、DNS-325等。用户应特别关注这些设备的安全性，及时检查是否存在该漏洞，以防止潜在的远程攻击。

攻击复杂性与风险

尽管该漏洞的攻击复杂度较高，但一旦被利用，可能导致严重的安全后果。用户应加强对设备的监控，及时更新固件，以降低被攻击的风险。

输入验证的重要性

漏洞的根源在于name参数未充分清理输入，强调了在开发中进行严格输入验证的重要性。开发者应吸取教训，确保所有用户输入都经过适当的过滤和验证。

❓

延伸问答

CVE-2024-10914漏洞影响哪些D-Link设备？

受影响的设备包括D-Link DNS-320、DNS-320LW、DNS-325和DNS-340L。

CVE-2024-10914漏洞的主要风险是什么？

该漏洞允许攻击者远程利用，可能导致命令注入，攻击复杂度较高。

如何利用CVE-2024-10914漏洞进行攻击？

可以使用提供的克隆代码库和运行漏洞利用的命令，具体命令为bash ./cve-2024-10914.sh -u <url>。

CVE-2024-10914漏洞的攻击复杂度如何？