Запись за границами буфера в разборе L2TP позволяет выполнить код на D-Link DIR-895L

В микропрограммном обеспечении маршрутизаторов D-Link DIR-895L обнаружена уязвимость, которая позволяет удалённо выполнить произвольный код на устройстве. Ошибка находится в модуле разбора управляющего канала L2TP - протокола туннелирования, который применяют для подключения к провайдеру и организации удалённого доступа. Управляющий канал отвечает за установку и поддержание туннеля, поэтому сбой в его обработке затрагивает работу устройства в целом. Речь идёт о версии прошивки A1_102b07, сведения о других версиях уточняются. В Банке данных угроз безопасности информации проблема получила номер BDU:2026-15578 и идентификатор CVE-2026-100740. Затронуты домашние пользователи и небольшие офисы, где такие маршрутизаторы стоят на границе сети.

Детали уязвимости

Причина уязвимости - запись за границами буфера. Разбирая служебное сообщение туннеля, устройство не проверяет длину приходящих данных. В результате фрагмент данных выходит за пределы выделенной области памяти и перезаписывает соседние участки. Часть из них содержит служебные структуры, которые определяют ход дальнейшего выполнения. Если злоумышленник подготовит содержимое аккуратно, он получит исполнение своего кода в процессе, обслуживающем туннель. Формально это переполнение буфера, одна из старейших и наиболее предсказуемых ошибок в сетевом коде. Классификатор ошибок относит проблему сразу к двум категориям: выход операции за границы буфера и запись за границами буфера. Уязвимость выявили 27 сентября 2026 года, она относится к классу ошибок кода.

Эксплуатация требует сетевого доступа к устройству. Кроме того, нужна учётная запись с низкими правами. Проще говоря, атакующий должен установить сессию L2TP. Это снижает вероятность случайных попыток, но не отменяет риска. Если на маршрутизаторе разрешён приём туннельных подключений из интернета, порог входа резко падает. При этом уязвимое устройство часто настраивают именно так, чтобы подключаться к рабочей сети извне. Механизм воздействия описан как манипулирование структурами данных, то есть без готового пароля устройство не скомпрометировать.

Оценки опасности высокие. По CVSS 3.1 базовая оценка составляет 9,9 и соответствует критическому уровню. Вторая версия метрики даёт 9, четвёртая - 8,6. Разброс объясняется разными подходами к учёту требуемых привилегий и последствий для смежных компонентов. Показательно другое: эксплойт (вредоносный код, эксплуатирующий уязвимость) уже опубликован в открытом доступе на GitHub. Описание самой техники разбора также приведено в сети со ссылками на первоисточники. Следовательно, воспользоваться ошибкой может не только исследователь, но и любой, кто умеет запускать готовый инструмент. Расчёт метрик отдельно учитывает, что последствия выходят за пределы самого маршрутизатора.

Компромисс маршрутизатора даёт противнику много возможностей. Он видит и меняет проходящий трафик, перенаправляет запросы, подключается к внутренним узлам. Устройство также удобно как точка закрепления: оно работает круглосуточно, а его прошивку проверяют редко. Отсюда типичные последствия - утечка данных, скрытое присутствие в сети и подготовка дальнейших атак. Небольшие организации замечают такое позже крупных, поскольку у них нет круглосуточного мониторинга. Для домашнего пользователя главный риск в другом: через маршрутизатор проходит вся его активность, включая банковские операции и рабочую переписку.

Сведений об исправленной прошивке пока нет. Статус уязвимости в Банке данных угроз обозначен как "данные уточняются", способ устранения не указан. Поэтому основная защита сейчас - компенсирующие меры. Прежде всего следует закрыть доступ к туннелям и управляющим интерфейсам из внешних сетей. Полезно сегментировать сеть, чтобы уязвимое устройство не имело доступа к критичным узлам; задействовать межсетевой экран уровня веб-приложений (WAF) для фильтрации трафика; включить системы обнаружения и предотвращения вторжений, которые зафиксируют попытки эксплуатации; применять виртуальные частные сети (VPN) для удалённого доступа; минимизировать права пользователей и удалить неиспользуемые учётные записи. Владельцам стоит проверить, включён ли на устройстве приём туннельных подключений, и отключить его, если такая возможность не нужна. Прошивку имеет смысл обновлять сразу после появления исправления у производителя.

Маршрутизаторы остаются удобной целью, потому что их редко обновляют. Публикация эксплойта ускоряет появление массовых сканирований и автоматических атак. Когда производитель не сообщает о патче, единственным барьером становятся настройки сети. Для DIR-895L стоит рассмотреть замену устройства, если исправление не появится в разумные сроки: модель выпущена давно, а поддержка подобных линеек со временем прекращается.

Детали уязвимости

Ссылки