CVE-2025-10814

چکیده

آسیب‌پذیری در روتر D-Link DIR-823X نسخه‌های فریم ور 240126، 240802 و 250416 به دلیل تزریق فرمان (Command Injection) در عملکرد ناشناخته فایل  /usr/sbin/goaheadاست که امکان اجرای دستورات دلخواه را برای مهاجمان احراز هویت‌شده فراهم می‌کند.

توضیحات

آسیب‌پذیری CVE-2025-10814 در روتر D-Link DIR-823X، ناشی از عدم پاک‌سازی امنیتی مناسب پارامتر port در فایل //usr/sbin/goahead است که مطابق با CWE-77  وCWE-74  طبقه‌بندی می‌شود. این ضعف در نسخه‌های فریم ور 240126، 240802 و 250416 وجود دارد و به مهاجمان احراز هویت‌شده اجازه می‌دهد با دستکاری پارامتر port، دستورات سیستم را از طریق متغیرهای محیطی (environment variables) اجرا کنند.

در goahead، ورودی port بدون اعتبارسنجی پردازش شده و به متغیرهای محیطی ارسال می‌شود که منجر به تزریق فرمان می‌گردد. مهاجم می‌تواند با ارسال درخواست مخرب، دستورات دلخواه اجرا کند.

این آسیب‌پذیری از طریق شبکه با پیچیدگی پایین و نیاز به احراز هویت قابل بهره‌برداری است و نیازی به تعامل کاربر  ندارد. مهاجم می‌تواند با دسترسی کاربر، روتر را کنترل کند. پیامدهای آن شامل نقض محدود محرمانگی با دسترسی به داده‌های حساس، یکپارچگی با تغییر تنظیمات و در دسترس‌پذیری با ایجاد اختلال است. در سناریوهای خاص، این آسیب پذیری می‌تواند منجر به کنترل کامل دستگاه (full control) شود.

کد اثبات مفهومی (PoC) منتشر شده در GitHub شامل یک اسکریپت پایتون است که پس از ورود به روتر، پارامتر port را دستکاری کرده و نمونه‌ای از دستور ls را تزریق و خروجی آن را نمایش می‌دهد. تاکنون D-Link پچ یا به‌روزرسانی رسمی برای رفع این آسیب‌پذیری منتشر نکرده است.

CVSS

 لیست محصولات آسیب پذیر

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که روترهای D-Link را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در روتر D-Link DIR-823X، به دلیل تزریق فرمان در goahead، تهدیدی قابل توجه برای امنیت شبکه‌های خانگی ایجاد می‌کند و می‌تواند منجر به اجرای دستورات دلخواه، دسترسی به فایل‌های حساس یا کنترل کامل دستگاه شود. با توجه به عدم انتشار پچ رسمی، اجرای فوری اقدامات زیر برای جلوگیری از آسیب پذیری ضروری است:

• به‌روزرسانی فریم ور: به طور منظم وب‌سایت رسمی D-Link را برای دریافت بهروزرسانی بررسی کرده و به محض انتشار، بلافاصله آن را نصب کنید.
• اعتبارسنجی ورودی‌ها و پارامترهای رابط: در صورت امکان، از پروکسی یا فایروال برای فیلتر کردن درخواست‌ها به goahead و محدود کردن پارامتر port استفاده کرده و پارامترهای رابط (Interface Parameters) را به‌طور موقت بررسی و کنترل کنید.
• محدودسازی دسترسی شبکه: دسترسی از راه دور به روتر را غیرفعال کرده، از VPN برای مدیریت استفاده کنید و پورت‌های HTTP/HTTPS را فقط برای IPهای مجاز باز کنید.
• نظارت بر ترافیک: لاگ‌های روتر را برای شناسایی درخواست‌های مشکوک با port مخرب بررسی کنید و از ابزارهای IDS/IPS برای تشخیص تلاش های تزریق فرمان بهره ببرید.
• تغییر تنظیمات پیش‌فرض: رمز عبور پیش‌فرض را تغییر دهید، در صورت عدم نیاز به ویژگی‌های سرور آن را غیرفعال کنید و از پروتکل‌های امن برای دسترسی به روتر استفاده نمایید.
• جایگزینی دستگاه: در صورت عدم انتشار پچ، روتر را با مدل‌های جدیدتر و امن‌تر جایگزین کنید.
• آموزش کاربران: مدیران شبکه را در مورد ریسک command injection در روترهای D-Link آگاه کنید و به‌روزرسانی منظم را الزامی سازید.

اجرای این اقدامات، ریسک تزریق فرمان و نقض امنیت را به حداقل رسانده و تا زمان انتشارپچ رسمی، امنیت روتر D-Link DIR-823X را به طور قابل توجهی افزایش می دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

ورود اولیه از طریق دسترسی احراز هویت‌شده به رابط وب روتر D-Link DIR-823X  انجام می‌شود. مهاجم می‌تواند با دسترسی کاربری، پارامتر port  را در فایل /usr/sbin/goahead  دستکاری کند و آماده‌سازی برای تزریق فرمان انجام دهد.

Execution (TA0002)

تزریق فرمان (Command Injection) از طریق پارامتر port منجر به اجرای دستورات دلخواه روی روتر می‌شود. مهاجم می‌تواند دستورات سیستم را اجرا کرده و در سناریوهای پیشرفته، کنترل کامل دستگاه را به دست آورد.

Persistence (TA0003)

دستورات مخرب یا تغییرات ایجاد شده در حافظه و متغیرهای محیطی می‌توانند تا زمان ریبوت یا اعمال اصلاح امنیتی در سیستم باقی بمانند و اثرات خود را تکرار کنند.

Privilege Escalation (TA0004)

این آسیب‌پذیری نیازمند دسترسی احراز هویت است، اما مهاجم می‌تواند با بهره‌برداری از آن یا آسیب‌پذیری‌های دیگر، دسترسی گسترده‌تر به دستگاه کسب کند.

Defense Evasion (TA0005)

تزریق فرمان از طریق پارامتر port بدون اعتبارسنجی انجام می‌شود و فعالیت مهاجم ممکن است در لاگ‌ها یا سیستم‌های امنیتی شناسایی نشود، بنابراین از IDS/IPS و فایروال‌ها به راحتی عبور می‌کند.

Lateral Movement (TA0008)

پس از دسترسی موفق، مهاجم می‌تواند از روتر برای حرکت به سایر دستگاه‌ها یا شبکه داخلی استفاده کند و حملات گسترده‌تری اجرا کند.

Exfiltration (TA0010)

داده‌های جمع‌آوری‌شده می‌توانند به سرورهای مهاجم ارسال شوند و منجر به سرقت اطلاعات حساس و کنترل تنظیمات دستگاه شوند.

Impact (TA0040)

پیامدهای این آسیب‌پذیری شامل نقض محدود محرمانگی با دسترسی به داده‌های حساس، اختلال در یکپارچگی با تغییر تنظیمات، کاهش دسترس‌پذیری با ایجاد اختلال و اجرای کد از راه دور (RCE) است که مهاجم می‌تواند کنترل کامل دستگاه را به دست آورد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-10814
2. https://www.cvedetails.com/cve/CVE-2025-10814/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-10814
4. https://vuldb.com/?submit.654452
5. https://vuldb.com/?id.325172
6. https://vuldb.com/?ctiid.325172
7. https://github.com/W1ngyu/cve/blob/main/DIink-DIR-823xgoformset_server_settings_command_execution_vulnerability.md
8. https://nvd.nist.gov/vuln/detail/CVE-2025-10814
9. https://cwe.mitre.org/data/definitions/77.html
10. https://cwe.mitre.org/data/definitions/74.html