CVE-2025-52222D-Link多款企业级路由器存在缓冲区溢出漏洞。该漏洞源于`radius_asp`函数未正确处理特定HTTP参数,攻击者可通过发送特制的恶意请求触发溢出,导致设备服务拒绝(DoS)。由于无需认证即可利用,该漏洞对网络安全构成严重威胁。
该漏洞位于D-Link路由器Web管理接口的`radius_asp`函数中。在处理`rd_en`、`rd_auth`、`rd_acct`、`http_hadmin`、`http_hadminpwd`、`rd_key`及`rd_ip`等参数时,系统未进行严格的长度校验和边界检查。攻击者可构造恶意HTTP请求,向上述参数提交超长字符串,从而触发缓冲区溢出。由于此漏洞无需认证(PR:N)且无用户交互(UI:N),攻击者可直接通过网络发起攻击。溢出将导致设备崩溃或重启,造成拒绝服务,严重影响网络可用性。此类内存破坏漏洞通常源于不安全的字符串拷贝函数使用,攻击者通过控制返回地址或关键内存结构,可能导致程序执行流劫持,但在本例中主要表现为DoS。