Уязвимость функции sub_400E40() сценария setconf.cgi микропрограммного обеспечения беспроводных HD-камер D-Link DCS-935L, позволяющая нарушителю выполнить произвольные команды

Описание

Уязвимость функции sub_400E40() сценария setconf.cgi микропрограммного обеспечения беспроводных HD-камер D-Link DCS-935L связана с непринятием мер по нейтрализации специальных элементов при обработке параметра UID. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Способ устранения

Использование рекомендаций: Компенсирующие меры: - проверка и очистка параметр UID перед выполнением команд в командвной оболочке: // Whitelist: only allow alphanumeric, dash, underscore for (char *p = uid; *p; p++) { if (!isalnum(*p) && *p != '-' && *p != '_') return -1; // reject } - использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам; - ограничение доступа из внешних сетей (Интернет); - отключение/ограничение функции удаленного управления для предотвращения попыток эксплуатации уязвимости (например, запрет использования незащищенных протоколов, таких как HTTP или Telnet); - соблюдение парольной политики принятой для организации доступа к устройству; - сегментирование сети для ограничения доступа к уязвимому устройству; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - использование виртуальных частных сетей для организации удаленного доступа (VPN).

Сведения записи

Уязвимое программное обеспечение

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 18.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.