D-Link发布了一个安全固件更新，该更新仅修复了DIR-865L家用路由器中的6个问题中的3个

作者

D-Link最近发布了固件更新，以解决影响DIR-865L无线家用路由器的六个安全漏洞中的三个。

在影响D-Link家庭路由器的漏洞列表下方：

  1. CVE-2020-13782：命令中特殊元素的不正确中和（命令注入）–严重等级9.8，未修复
  2. CVE-2020-13786：跨站点请求伪造（CSRF）–高严重性评分8.8，已修复
  3. CVE-2020-13785：加密强度不足–严重等级为7.5，已修复
  4. CVE-2020-13784：伪随机数生成器中的可预测种子–高严重性得分7.5不固定
  5. CVE-2020-13783：敏感信息的明文存储–严重等级为7.5，已修复
  6. CVE-2020-13787：敏感信息的明文传输–严重等级为7.5，未修复

该漏洞于2月由Palo Alto Networks的研究人员报告给D-Link，专家指出，这些问题也可能影响较新的型号，因为它们共享部分固件代码。

只有命令注入漏洞的等级为“严重”，其余的等级为“高”，攻击者可以利用它们执行任意命令，窃取敏感信息，上传恶意有效载荷或删除数据。

根据Palo Alto Networks 42单元研究员Gregory Basior的说法，攻击者可以将上述问题中的一些链接起来，以嗅探网络流量并窃取会话Cookie。

这些漏洞的不同组合可能导致重大风险。例如，恶意用户可以嗅探网络流量以窃取会话Cookie。” 读取Palo Alto Networks发布的分析。

“有了这些信息，他们就可以访问管理门户进行文件共享，从而使他们能够上传任意恶意文件，下载敏感文件或删除基本文件。他们还可以使用cookie来运行任意命令来进行拒绝服务攻击。”

美国消费者不再支持D-Link的DIR-865L，而卖方门槛则为欧洲消费者提供支持。

该供应商发布了Beta固件版本，该固件版本仅修复了六个缺陷中的三个，建议客户使用新型号替换其设备。