DSL-2760U

Die Schwachstelle betrifft das Web-Verwaltungsinterface des Gateways DSL-2760U von D-Link. Es handelt sich um mehrere Cross-Site-Scripting-Lücken (XSS): An zahlreichen Stellen der Konfigurationsoberfläche – etwa bei den Einstellungen für Zeitserver, dynamisches DNS, Zeitsteuerung, URL-Filter, Portweiterleitung, Paketfilter, SNMP, Samba-Freigaben sowie den WLAN-Namen – werden vom Benutzer übergebene Eingaben nicht ausreichend bereinigt. Dadurch kann ein angemeldeter Angreifer aus der Ferne eigenen Web-Skriptcode oder HTML in diese Parameter einschleusen, der anschließend im Verwaltungsinterface ausgeführt wird. Voraussetzung ist eine gültige Anmeldung am Gerät. Ruft ein anderer Nutzer – typischerweise ein Administrator – die manipulierte Seite auf, läuft der eingeschleuste Code in dessen Sitzung. So lassen sich beispielsweise Aktionen im Namen des Administrators auslösen oder dessen Sitzung missbrauchen, um die Kontrolle über die Geräteverwaltung auszuweiten.