【安全圈】D-Link忽视旧款VPN路由器补丁更新，关键漏洞未修复

关键词

在发现严重的远程代码执行 (RCE) 漏洞后，D-Link 强烈建议其旧款 VPN 路由器用户更换设备。由于这些型号的路由器已达到其使用寿命和终止支持的日期，因此不会再对其打补丁以防范该漏洞。

安全研究人员"delsploit"向D-Link报告了该漏洞，但尚未分配CVE标识符。该漏洞的技术细节也未披露，因此客户有时间在网络犯罪分子开始尝试利用该漏洞之前做出反应。我们知道这是一个堆栈缓冲区溢出漏洞，允许未经认证的用户执行远程代码执行。

以下设备的所有硬件版本和固件版本都受到了影响：

• DSR-150 （2024 年 5 月到期）

• DSR-150N（2024 年 5 月到期）

• DSR-250（2024 年 5 月退出市场）

• DSR-250N（2024 年 5 月退出市场）

• DSR-500N（2015 年 9 月退出市场）

• DSR-1000N（2015 年 10 月停用）

D-Link 强调，它将不会为四个受影响的型号发布补丁，因为它们都已达到 EOL 或 EOS 状态，也就是产品处于结束支持的期限之后，其中大多数是在 2024 年 5 月，还有几个是在 2015 年。该公司写道，公司的一般政策是，当产品达到 EOS/EOL 时，将不再对其提供支持，并且停止对这些产品的所有固件开发。

D-Link 强烈建议这些路由器的所有者升级到较新的型号，因为继续使用可能会对与其连接的设备造成危险。

D-Link DSR 150 路由器

该公司正试图安抚那些可能对此感到恼火的用户，为不受漏洞影响的新服务路由器（DSR-250v2）提供 20% 的折扣。

D-Link 还指出，虽然第三方开放固件可用于许多受影响的设备，但使用这些固件会导致保修失效，设备所有者应自行承担责任。

这是 D-Link 在一个月内第二次确认不会为已达到报废/服务终止状态的高危设备打补丁。这家台湾公司建议其已停产的 NAS 设备的所有者升级到较新的型号，因为这些设备不会打补丁以防止关键命令注入漏洞。

2022 年，网络安全& 基础设施安全局（CISA）建议消费者更换存在 RCE 漏洞的 D-Link 路由器，因为这些设备已达到使用寿命，将不再收到补丁。

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！