CVE-2022-40799

Суть уязвимости

Уязвимость CVE-2022-40799 в сетевых видеорегистраторах D-Link DNR-322L связана с отсутствием проверки целостности при загрузке кода (CWE-494: Download of Code Without Integrity Check).

Механизм работы уязвимости: * Устройство загружает исполняемые файлы, обновления или скрипты без криптографической проверки их подлинности (например, без проверки цифровой подписи или хэш-суммы). * Аутентифицированный злоумышленник может эксплуатировать этот недостаток, подменив загружаемый файл или указав путь к вредоносному серверу. * В результате успешной эксплуатации атакующий получает возможность выполнять произвольные команды на уровне операционной системы устройства (RCE), что ведет к полной компрометации видеорегистратора.

Как исправить

Продукт D-Link DNR-322L официально признан производителем устаревшим и перешел в статус End-of-Life (EoL) и End-of-Service (EoS).

• Производитель не будет выпускать обновления прошивки для закрытия данной уязвимости.
• Единственным надежным и окончательным способом устранения угрозы является полный вывод устройства из эксплуатации и его замена на актуальную, поддерживаемую производителем модель видеорегистратора.

Временные меры

Если немедленный вывод устройства из эксплуатации невозможен по бизнес-причинам, необходимо максимально снизить поверхность атаки. Примените следующие компенсирующие меры:

• Изоляция на сетевом уровне (VLAN): Поместите видеорегистратор в отдельный изолированный сегмент сети (VLAN), предназначенный исключительно для систем видеонаблюдения.
• Блокировка доступа в Интернет: Полностью запретите устройству исходящий и входящий трафик в Интернет, чтобы предотвратить загрузку вредоносного кода извне и связь с C2-серверами. Пример правила для маршрутизатора на базе Linux (где IP регистратора — 192.168.1.100):

iptables -A FORWARD -s 192.168.1.100 -o eth0 -j DROP

• Ограничение доступа к интерфейсу управления: Разрешите доступ к веб-интерфейсу устройства только с выделенных IP-адресов администраторов (Jump Host). Пример ограничения доступа к 80 порту регистратора только для IP 10.0.0.50:

iptables -A FORWARD -s 10.0.0.50 -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.1.100 -p tcp --dport 80 -j DROP

• Усиление аутентификации: Поскольку уязвимость требует предварительной аутентификации, немедленно смените все пароли на устройстве на сложные и уникальные. Убедитесь, что заводские учетные записи по умолчанию отключены или их пароли изменены.
• Отключение внешних сервисов: В настройках регистратора отключите любые функции автоматического обновления, синхронизации с облаком (mydlink) или загрузки дополнений, если таковые имеются.
• Мониторинг трафика: Настройте IDS/IPS для мониторинга сетевой активности в сегменте видеонаблюдения на предмет аномальных попыток скачивания файлов (HTTP GET запросы к неизвестным ресурсам) или попыток запуска shell-сессий.