Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en D-Link DAP-2622 (CVE-2023-37314)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-121 Desbordamiendo de búfer basado en pila (Stack)
Fecha de publicación:
03/05/2024
Última modificación:
13/05/2025

Descripción

Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en pila al establecer la dirección IPv6 de autenticación del nombre de usuario en D-Link DAP-2622 DDP. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en instalaciones afectadas de enrutadores D-Link DAP-2622. No se requiere autenticación para aprovechar esta vulnerabilidad. La fallo específica existe dentro del servicio DDP. El problema se debe a la falta de una validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos en un búfer basado en pila de longitud fija. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del usuario root. Fue ZDI-CAN-20092.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:dlink:dap-2622_firmware:*:*:*:*:*:*:*:* 1.10b03r022 (excluyendo)
cpe:2.3:h:dlink:dap-2622:-:*:*:*:*:*:*:*