研究人員發現，D-Link 路由器漏洞如果被利用，這可能會允許黑客通過特製請求對脆弱的網絡設備執行任意命令，甚至發起拒絕攻擊。
D-Link路由器容易受到三個新的高風險安全漏洞的攻擊，從而使數百萬個家庭和企業網絡容易受到網絡攻擊，即使它們使用強密碼保護也是如此。
運行固件版本3.14和3.17的DSR系列中的D-Link DSR-150，DSR-250，DSR-500和DSR-1000AC路由器模型容易受到可遠程利用的根命令注入漏洞的攻擊。
這家臺灣網絡設備製造商在12月1日的公告中確認了這些問題，並補充說，正在針對三個漏洞中的兩個漏洞開發補丁，這些補丁現已在撰寫本文時向公衆發佈。
不管是匿名者黑客組織還是東方聯盟，相關安全專家都表示，D-Link 路由器高危漏洞需要及時修復。
研究人員在今天發佈一份報告中說：“從WAN和LAN接口來看，可以通過Internet利用此漏洞。因此，具有訪問路由器Web界面訪問權限的遠程未經身份驗證的攻擊者可以以root用戶身份執行任意命令，從而有效地獲得了對路由器的完全控制。”
缺陷源於以下事實：易受攻擊的組件“ Lua CGI”無需身份驗證即可訪問，並且缺少服務器端過濾，因此攻擊者（通過身份驗證或其他方式）可能注入將以root身份執行的惡意命令。
另一個漏洞涉及路由器配置文件的修改，以注入惡意CRON條目並以root用戶身份執行任意命令。
但是，D-Link表示不會“在這一代產品上”糾正此缺陷，並指出這是預期的功能。
該公司表示：“該設備使用純文本配置，該設計可以直接編輯配置並將其相應地上傳到相同的DSR設備。”
研究人員警告說，由於COVID-19大流行導致在家工作的空前增加，可能會有更多員工使用其中一種受影響的設備連接到公司網絡。
隨着組織爭先恐後地適應遠程工作並提供對企業系統的安全遠程訪問，這種變化創造了新的攻擊面，路由器中的漏洞成爲攻擊者進入企業內部網絡的普遍目標。（歡迎轉載分享）