CVE-2026-7854D-Link DI-8100路由器(固件版本16.07.26A1)的Web管理组件中存在一个严重的缓冲区溢出安全漏洞。该问题具体出在`/url_rule.asp`文件的`url_rule_asp`函数处理POST请求参数时,由于缺乏足够的边界检查,导致攻击者能够通过发送特制数据包触发溢出。由于该漏洞无需身份认证且可被远程利用,攻击者可借此导致设备拒绝服务或获取系统控制权,严重威胁设备机密性、完整性与可用性。目前公开的利用代码增加了攻击风险,需紧急处理。
该漏洞的根源在于D-Link DI-8100设备在处理特定HTTP POST请求时的逻辑缺陷。具体技术细节显示,`/url_rule.asp`页面调用的`url_rule_asp`函数负责解析用户提交的URL规则参数。在将用户输入的数据复制到栈上的缓冲区时,程序未校验输入数据的长度,直接使用不安全的函数进行操作。攻击者可以通过构造超长的恶意字符串作为POST参数发送给服务器。当数据长度超过缓冲区预设大小时,多余的字节将覆盖栈上的返回地址或其他关键寄存器。由于该服务无需用户交互即可访问,攻击者可远程控制执行流程,注入Shellcode以获得Root权限的命令执行能力,或者直接导致设备崩溃及服务中断。这种类型的栈溢出在嵌入式设备中通常较难通过ASLR等机制防御。