跳到主要内容

超危

多款D-Link产品soap.cgi操作系统命令执行漏洞

2018-03-06 20:00:00 公开 ，2026-02-20 18:19:52 更新

  • 关键漏洞
  • CISA KEV
  • 勒索软件漏洞
  • 远程
  • 公开PoC
  • 无需认证
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
CWEs：
CWE-78 （OS Command Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-02-05 04:36:36

风险信息

CVSS v2 向量
AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v2 风险值
10
CVSS v3 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
9.8
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
命令注入
漏洞描述
D-Link DIR-880L等都是友讯（D-Link）公司的无线路由器产品。 多个D-Link产品可能允许远程攻击者在系统上执行任意命令，这是由soap.cgi（cgibin中的soapcgi_main）中的缺陷引起的。通过发送特制请求，攻击者可以利用该漏洞使用service参数在系统上执行任意命令。以下产品和版本受到影响：D-Link DIR-880L DIR-880L_REVA_FIRMWARE_PATCH_1.08B04及之前版本；DIR-868L DIR868LA1_FW112b04及之前版本；DIR-65L DIR-865L_REVA_FIRMWARE_PATCH_1.08.B01之前版本；DIR-860L DIR860LA1_FW110b04及之前版本。
修复建议
从D-Link网站升级至最新版本的D-Link DIR-880L（固件1.08B06 BETA或更高版本）、DIR-865L（固件2.10B01 BETA或更新版本）、DIR-868L（固件3.20B01 BETA或更新版本）和DIR-860L（固件4.11B01 BETA或更新版本）： 如果受影响的设备已结束其使用寿命，如果仍在使用，则应断开网络连接。 http://www.dlink.com.cn/

参考链接