Запись за границы буфера в обработчике L2TP прошивки D-Link DIR-822A позволяет удалённо изменить память маршрутизатора

В маршрутизаторах D-Link DIR-822A обнаружена уязвимость в разборщике управляющих сообщений протокола L2TP (протокол туннелирования канального уровня). Ошибка приводит к записи за границами выделенного буфера памяти. Удалённый нарушитель способен повлиять на конфиденциальность, целостность и доступность информации, которую обрабатывает устройство. Сведения внесены в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-15575, уязвимость получила идентификатор CVE-2026-86510.

Детали уязвимости

L2TP применяют для построения виртуальных частных сетей (VPN) и для подключения клиентов к провайдеру. Протокол передаёт служебные сообщения, среди которых есть поле с именем узла. Разборщик читает это поле и передаёт данные в функцию настройки туннеля. Длина значения при этом не проверяется. В результате часть данных выходит за пределы буфера и попадает в соседние области памяти. Классификация относит проблему сразу к двум типам ошибок: выход операции за границы буфера и запись за границами буфера. Нужного поведения злоумышленник добивается через манипулирование структурами данных. Иными словами, он не подбирает пароль и не ищет обход аутентификации, а формирует сообщение нетипичной длины.

Разработчик подтвердил существование уязвимости. Однако данные о выпуске исправленной прошивки пока уточняются, готового решения у пользователей нет. Проблема затрагивает микропрограммное обеспечение версии A_101. Оценка по CVSS 3.1 достигает 9,9 из 10, по CVSS 4.0 составляет 8,6, а по устаревшей шкале CVSS 2.0 равна 9. Высокие баллы объясняются сочетанием сетевого доступа, низкой сложности атаки и полного влияния на три свойства защищаемой информации.

Вектор атаки сетевой, поэтому нарушителю не нужен физический контакт с устройством. Для эксплуатации требуются учётные данные с низким уровнем привилегий. Взаимодействие с пользователем не предусмотрено. Область воздействия выходит за пределы уязвимого компонента, поэтому последствия не ограничиваются одним маршрутизатором. Эксплойт, то есть вредоносный код для использования уязвимости, уже доступен в открытом доступе. Это заметно повышает вероятность реальных попыток. Уязвимость относится к классу уязвимостей кода и связана с отсутствием проверки входных данных.

Риск усиливает роль самих устройств. Домашние и офисные маршрутизаторы подключаются напрямую к интернет-каналу и часто работают без присмотра администратора. Если на устройстве включён сервер L2TP и соответствующие порты открыты наружу, злоумышленник добирается до уязвимого кода без доступа во внутреннюю сеть. Перезапись памяти позволяет нарушить работу устройства, изменить его настройки или получить контроль над обработкой трафика. Для компании это означает риск утечки данных, подмены маршрутов и простоя канала связи. Наряду с этим прошивки сетевого оборудования обновляют редко, поэтому уязвимые экземпляры остаются в строю годами.

Пока патч не появился, применимы компенсирующие меры. Ограничить удалённый доступ к устройству средствами межсетевого экранирования; закрыть доступ из внешних сетей, прежде всего из интернета; отключить или ограничить удалённое управление, отказавшись от незащищённых протоколов вроде HTTP и Telnet; соблюдать парольную политику, принятую в организации; разделить сеть на сегменты, чтобы уязвимый маршрутизатор не открывал путь к остальной инфраструктуре; применять средства обнаружения и предотвращения вторжений (IDS и IPS) для выявления попыток эксплуатации; организовывать удалённый доступ через VPN. Эти действия не закрывают саму уязвимость, но сокращают поверхность атаки и усложняют её использование.

Ситуация с DIR-822A повторяет знакомый сценарий. Производитель подтверждает проблему, эксплойт уже гуляет по сети, а исправление задерживается. Пользователям таких маршрутизаторов имеет смысл проверить, совпадает ли модель и версия прошивки с указанными в бюллетене, отключить внешнее управление и следить за объявлениями вендора. Если устройство больше не получает обновлений, безопаснее заменить его на модель с поддержкой. В корпоративной сети дополнительно стоит проверить, не доступны ли интерфейсы маршрутизатора из интернета, и ограничить такие подключения на уровне периметра. Тенденция последних лет указывает на устойчивый интерес злоумышленников к периферийному оборудованию: оно стоит на границе сети, редко обновляется и даёт атакующему удобную точку входа. Ошибки обработки входных данных в сетевых протоколах остаются одним из самых частых источников подобных уязвимостей.

Детали уязвимости

Ссылки