Un nuovo allarme di sicurezza informatica raggiunge numerosi dispositivi NAS D-Link e il loro proprietari. Un ricercatore, che si firma Netsecfish su Github, ha scoperto una falla di sicurezza che permette di creare backdoor sul dispositivo, e poi usarla per l'iniezione di comandi arbitrari. Il problema molti modelli anche se nessuno recente. Tuttavia spesso e volentieri gli utenti tengono il NAS anche per anni, quindi le persone esposte potrebbero essere molte.
La vulnerabilità, identificata come CVE-2024-3273, deriva da una combinazione di problemi. In particolare, c'è un account predefinito con nome utente "messagebus" e password vuota, insieme a un'opzione di iniezione di comandi attraverso il parametro "system". Questo account finisce quindi per costituire una backdoor costantemente aperta.
Un attaccante può eseguire comandi a distanza sul dispositivo. Questo può portare a un accesso non autorizzato, modifiche alle configurazioni di sistema o addirittura a condizioni di denial of service.
Il problema è stato segnalato a D-Link, che tuttavia ha fatto sapere che non si saranno aggiornamenti né servizi di supporto proprio perché i prodotti sono ormai oltre il loro ciclo di vita previsto. Chi ne ha uno, quindi, dovrà sostituirlo oppure cercare una soluzione alternativa. D-Link ha se non altro pubblicato una pagina di supporto con qualche informazione.