D-Link warns of multiple zero-days in DGS-3130 Series switches

La com­pa­ñía D-Link ha co­mu­ni­ca­do ac­cio­nes tem­po­ra­les de mi­ti­ga­ción para aten­der múl­ti­ples fa­llos de se­gu­ri­dad sin par­chear que im­pac­tan a los swit­ches api­la­bles Gi­ga­bit ad­mi­nis­tra­dos de la serie DGS-3130. Estos equi­pos están orien­ta­dos prin­ci­pal­men­te a em­pre­sas de ta­ma­ño pe­que­ño y me­diano, así como a im­ple­men­ta­cio­nes de tipo metro Ether­net.

A pesar de que to­da­vía no se han pu­bli­ca­do los iden­ti­fi­ca­do­res CVE co­rres­pon­dien­tes ni de­ta­lles pro­fun­dos sobre las vul­ne­ra­bi­li­da­des, la em­pre­sa in­di­có que los pro­ble­mas fue­ron ha­lla­dos por un in­ge­nie­ro de redes lla­ma­do Gi­resh Kumar Enugu. Las fa­llas se lo­ca­li­zan en la au­ten­ti­ca­ción, el ma­ne­jo de in­for­ma­ción y el con­trol de ac­ce­so del pro­to­co­lo de des­cu­bri­mien­to de la marca (DDP).

Si un ata­can­te logra ex­plo­tar estos pro­ble­mas de se­gu­ri­dad, po­dría con­se­guir in­for­ma­ción con­fi­den­cial del apa­ra­to, al­te­rar con­fi­gu­ra­cio­nes o cre­den­cia­les sin au­to­ri­za­ción, fil­trar co­mu­ni­da­des SNMP, pro­vo­car in­te­rrup­cio­nes en el ser­vi­cio o re­ini­ciar el dis­po­si­ti­vo. Mien­tras pre­pa­ra las ac­tua­li­za­cio­nes de firm­wa­re ne­ce­sa­rias, el fa­bri­can­te ha acon­se­ja­do a los ad­mi­nis­tra­do­res des­ac­ti­var el pro­to­co­lo afec­ta­do, eli­mi­nar ca­de­nas SNMP pre­de­ter­mi­na­das y li­mi­tar el ac­ce­so a la in­ter­faz web, SSH y SNMP.