Ce mois a été assez mouvementé pour D-Link. Comme indiqué par BleepingComputer, les images du micrologiciel du routeur de la société ont divulgué la clé secrète utilisée pour chiffrer leurs binaires de micrologiciel propriétaires.

Maintenant, la société a révélé cinq vulnérabilités graves dans certains de leurs modèles de routeur, ce qui pourrait permettre une grave compromission du réseau. De plus, certains appareils ont atteint leur phase de «fin de vie», ce qui signifie qu’ils ne seraient pas patchés.

Les vulnérabilités signalées par ACE Team – Loginsoft incluent les attaques XSS (Cross-Site Scripting) reflétées, les dépassements de tampon vers les moyens d’obtenir les informations d’identification d’administrateur, le contournement de l’authentification et l’exécution de code arbitraire.

Tout attaquant ayant accès à la page d’administration du routeur peut mener lesdites attaques même s’il ne connaît pas les informations d’identification de l’administrateur.

Les vulnérabilités révélées et corrigées cette semaine sont:

Pour la plupart des configurations, l’attaquant devra être présent sur le même réseau que le routeur (par exemple, un hotspot Wi-Fi public ou un réseau interne) pour accéder au Web du routeur …