В БДУ внесли уязвимость D-Link M60 со стандартными admin/admin

В Банке данных угроз безопасности информации ФСТЭК появилась запись BDU:2026-18815 о маршрутизаторе D-Link M60. В прошивке 1.12.B01 демон EasyMeshDaemon, он же emDaemon, принимает стандартные учётные данные admin/admin. Удалённый атакующий может читать, изменять и удалять данные устройства. БДУ относит уязвимость к критическому уровню и указывает, что эксплойт есть в открытом доступе. Исправления в записи нет.

Суть ошибки

Проблема не в одной функции, а в сочетании нескольких ошибок в демоне EasyMeshDaemon. Демон, то есть фоновая служба, обслуживает часть функций устройства. В записи БДУ перечислены четыре слабости. Первая, CWE-259, описывает жёстко закодированный пароль. Вторая, CWE-306, означает, что критичная функция доступна без проверки подлинности. Третья, CWE-798, указывает на жёстко закодированные регистрационные данные. Четвёртая, CWE-1391, говорит о слабых учётных данных. Вместе они дают простой сценарий: служба принимает admin/admin и не требует дополнительного подтверждения. По CVSS 3.1 у уязвимости 10,0, по CVSS 4.0 - 9,3.

Условия эксплуатации

Атака сетевая. Злоумышленнику достаточно доступа к устройству по сети, локальная консоль и учётная запись администратора не нужны. Взаимодействие пользователя тоже не требуется. Это важно: атакующий может работать автоматически, без фишинга и без действий со стороны владельца маршрутизатора. Риск выше, если M60 доступен из интернета или из недоверенного сегмента сети. Если устройство закрыто межсетевым экраном и доступно только из доверенной локальной сети, для эксплуатации сначала нужно получить точку опоры в этой сети. Но и в таком случае уязвимость остаётся опасной: внутренний нарушитель или вредоносный процесс на соседнем устройстве может воспользоваться стандартными данными.

Затронутые версии

В записи указана прошивка D-Link M60 версии 1.12.B01. Другие версии в источнике не перечислены, поэтому проверять стоит все M60, которые ещё работают в сети, и сверять фактическую версию прошивки с записями вендора. Речь идёт о беспроводном маршрутизаторе, который часто ставят дома или в небольшом офисе. Такие устройства редко попадают в регулярный инвентарный учёт, а удалённое управление на них иногда включено для удобства. Именно поэтому первым шагом должна быть не попытка найти патч, а поиск самих устройств.

Что получает атакующий

По описанию БДУ, доступ позволяет читать, изменять и удалять данные. На практике это означает возможность менять настройки маршрутизатора, влиять на конфигурацию сети и нарушать работу устройства. Атакующий не получает автоматически контроль над всеми компьютерами в сети, но маршрутизатор стоит на пути трафика и управляет подключениями. Поэтому компрометация M60 может стать шагом к более широкой атаке. Отдельно опасен сценарий, когда стандартный admin/admin использовался и на других устройствах: тогда один найденный пароль открывает больше, чем один маршрутизатор.

Почему это не только слабый пароль

Смена пароля веб-интерфейса может не устранить ошибку. Если учётные данные жёстко зашиты в демоне, стандартная пара останется внутри службы независимо от того, что администратор задал в интерфейсе. Поэтому запись БДУ и относит проблему к сочетанию CWE-259 и CWE-798: дело не в том, что владелец забыл сменить пароль, а в том, что пароль и регистрационные данные заданы разработчиком. CWE-306 добавляет ещё один слой: часть критичной функции вообще не проверяет, кто её вызывает. Это делает эксплуатацию устойчивой к обычным советам вроде «поставьте сложный пароль».

Что с исправлением

На момент публикации записи информации об исправлении нет. В БДУ сказано, что статус уязвимости и сведения об устранении уточняются. Планировать защиту только на обновлении сейчас нельзя. Нужно следить за бюллетенями D-Link и проверять, появилась ли новая прошивка для M60. Если вендор выпустит исправление, его стоит установить после проверки совместимости и резервного копирования конфигурации. До этого работают только компенсирующие меры.

Если обновиться нельзя

Первое действие: ограничить доступ к устройству межсетевым экраном. Нельзя оставлять M60 доступным из интернета. Если удалённое управление не нужно, его стоит отключить. Также нужно отказаться от HTTP и Telnet в пользу защищённого канала, если такая возможность есть. Для удалённого администрирования лучше использовать VPN, а не прямой доступ к веб-интерфейсу. Внутри сети устройство стоит вынести в отдельный сегмент и ограничить обращения к нему со стороны рабочих станций. IDS/IPS может помочь заметить подозрительные подключения, но не заменяет изоляцию.

Если прошивка не обновляется или исправления нет, устройство стоит вывести из периметра или заменить. Это особенно важно для M60, которые стоят на внешней границе. Для домашнего сценария замена может быть проще, чем постоянная фильтрация. Для офиса нужно оценить, какие функции выполняет устройство и можно ли перенести их на поддерживаемую платформу.

Что проверить в первую очередь

Первый шаг: инвентаризация. Нужно найти все D-Link M60, включая те, что стоят у сотрудников и в удалённых офисах. Затем стоит проверить, доступны ли они снаружи, включено ли удалённое управление и какие порты открыты. Смена учётных данных администратора возможна, если интерфейс это позволяет, но не стоит считать это полным исправлением. Отдельно нужно проверить, не использовалась ли пара admin/admin на других устройствах сети: коммутаторах, точках доступа, камерах и серверах управления. Если такие устройства есть, пароль нужно сменить и на них.

Также стоит проверить журналы на необычные входы и изменения настроек. Если M60 был доступен из интернета, нужно исходить из того, что устройство могло быть скомпрометировано, и проверить конфигурацию. Признаки компрометации в источнике не перечислены, поэтому ориентироваться нужно на обычные для маршрутизатора события: новые правила, неизвестные учётные записи, изменения DNS и неожиданные перезагрузки.

Ссылки

https://bdu.fstec.ru/vul/2026-18815