- شناسه CVE-2025-9026 :CVE
- CWE-78, CWE-77 :CWE
- yes :Advisory
- منتشر شده: آگوست 15, 2025
- به روز شده: آگوست 15, 2025
- امتیاز: 7.3
- نوع حمله: OS Command Injection
- اثر گذاری: Unknown
- حوزه: تجهیزات شبکه و امنیت
- برند: D-link
- محصول: DIR-860L
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch نشده
چکیده
آسیب‌پذیری تزریق فرمان سیستم‌عامل (OS Command Injection) در روتر D-Link DIR-860L نسخه 2.04.B04 شناسایی شده است. این آسیب پذیری در تابع ssdpcgi_main از فایل htdocs/cgibin و در کامپوننت Simple Service Discovery Protocol (پروتکل ساده کشف سرویس یا SSDP وجود دارد و به مهاجم اجازه می‌دهد بدون احراز هویت، دستورات سیستمی دلخواه خود را از راه دور اجرا کند.
توضیحات
آسیب‌پذیری CVE-2025-9026 از نوع تزریق فرمان سیستم‌عامل (مطابق با CWE-78) و تزریق فرمان (CWE-77) است که در کامپوننت Simple Service Discovery Protocol روتر D-Link DIR-860L رخ می‌دهد. این آسیب پذیری در تابع ssdpcgi_main از فایل htdocs/cgibin ایجاد می‌شود، جایی که مقدار هدر ST (Search Target) در درخواست‌های SSDP M-SEARCH بدون فیلتر یا اعتبارسنجی مستقیماً به تابع lxmldbc_system ارسال شده و در نهایت به system() منتقل می‌گردد.
عدم اعتبارسنجی ورودی به مهاجم اجازه می‌دهد با تزریق کاراکترهای متا مانند سمی‌کالن(؛) یا دستوراتی مانند telnetd در هدر ST، فرمان های دلخواه خود را به دستور اصلی اضافه کرده و با بالاترین سطح دسترسی دستگاه اجرا کند. این آسیب پذیری امکان اجرای کد از راه دور (RCE) را فراهم می کند که این موضوع می‌تواند منجر به کنترل کامل روتر، دسترسی به داده‌های حساس شبکه، تغییر تنظیمات مانند رمز عبور یا DNS یا حتی ایجاد بکدور شود. حمله از راه دور قابل اجرا است، نیازی به سطح دسترسی اولیه یا تعامل کاربر ندارد و پیچیدگی پایینی دارد.
پیامدهای این آسیب پذیری شامل دسترسی غیرمجاز به اطلاعات شبکه مانند ترافیک داده یا اطلاعات کاربران متصل، تغییر تنظیمات روتر مانند هدایت ترافیک به سرورهای مخرب و اختلال در عملکرد شبکه مانند اختلال در سرویس برای دستگاه‌های متصل است.
کد اثبات مفهومی (PoC) نشان می‌دهد که با ارسال بسته SSDP دارای هدر ST مخرب مانند ST: urn:device:1;telnetd، می‌توان سرویس telnet را روی دستگاه فعال کرد. با توجه به اینکه این محصول دیگر توسط D-Link پشتیبانی نمی‌شود، بنابراین هیچگونه پچ یا به روزرسانی رسمی برای رفع آن منتشر نخواهد شد.
CVSS
| Score | Severity | Version | Vector String |
| 6.9 | MEDIUM | 4.0 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P |
| 7.3 | HIGH | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 7.3 | HIGH | 3.0 | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 7.5 | — | 2.0 | AV:N/AC:L/Au:N/C:P/I:P/A:P/E:POC/RL:ND/RC:UR |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 2.04.B04 | DIR-860L |
نتیجه گیری
با توجه به شدت بالای این آسیب‌پذیری و امکان اجرای کد از راه دور بدون احراز هویت، کاربران D-Link DIR-860L باید در اسرع وقت این روتر را از شبکه خارج کرده و با مدل‌های پشتیبانی‌شده جایگزین کنند، زیرا این محصول دیگر توسط D-Link پشتیبانی نمی‌شود و پچ رسمی برای آن منتشر نخواهد شد. برای کاهش ریسک، دسترسی به پورت 1900 (مورد استفاده SSDP) باید با فایروال مسدود شود و ترافیک شبکه برای شناسایی بسته‌های SSDP مخرب نظارت گردد. همچنین، غیرفعال کردن سرویس SSDP در صورت امکان، محدود کردن دسترسی به رابط مدیریتی روتر از طریق IPهای مورد اعتماد و استفاده از رمزعبور قوی برای روتر نیز توصیه می‌شود. نظارت بر لاگ‌های دستگاه برای شناسایی فعالیت‌های مشکوک، مانند تلاش برای فعال‌سازی سرویس‌های غیرمجاز مانند telnet و به‌روزرسانی دستگاه‌های دیگر شبکه برای جلوگیری از حملات زنجیره‌ای ضروری است. این اقدامات به‌صورت یکپارچه می‌توانند ریسک بهره‌برداری را کاهش داده و امنیت شبکه را حفظ کنند.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-9026
- https://www.cvedetails.com/cve/CVE-2025-9026/
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-9026
- https://vuldb.com/?submit.629946
- https://vuldb.com/?id.320091
- https://vuldb.com/?ctiid.320091
- https://github.com/i-Corner/cve/issues/17
- https://nvd.nist.gov/vuln/detail/CVE-2025-9026
- https://cwe.mitre.org/data/definitions/78.html
- https://cwe.mitre.org/data/definitions/77.html
