לצד החולשה שחושפת את סיסמת המנהל, אותם דגמי מצלמות רשת של D-Link סובלים מחולשה שנייה, חמורה יותר: משתמש מחובר יכול להריץ דרכה פקודות מערכת על המצלמה עצמה. הציון שלה הוא 8.8 מתוך 10, והיא מנוצלת בפועל. השילוב בין השתיים מסוכן במיוחד.
מה החולשה?
אחד מרכיבי הניהול של המצלמה, סקריפט בשם ddns_enc.cgi שמטפל בהגדרות DNS דינמי, מקבל קלט מהמשתמש ומעביר אותו הלאה למערכת ההפעלה של המצלמה בלי לסנן אותו כראוי. כאן נכנסת חולשה מסוג command injection, הזרקת פקודות: תוקף מוסיף בשדה הקלט לא רק ערך רגיל אלא גם פקודת מערכת משלו, והמצלמה מריצה אותה.
מרגע שאפשר להריץ פקודות מערכת על המצלמה, התוקף שולט בה במלואה. הוא יכול להתקין עליה קוד, להשתמש בה כדי לתקוף מכשירים אחרים ברשת, או לצרף אותה לרשת של מכשירים נגועים. כדי לנצל את החולשה צריך התוקף להיות כבר מחובר לממשק הניהול.
מי מושפע?
מדובר באותם דגמים של החולשה התאומה: DCS-2530L בגרסאות לפני 1.06.01 Hotfix, DCS-2670L עד גרסה 2.02, וסדרות ה-DCS-4600 וה-DCS-4700. אלה מצלמות אבטחה ביתיות ועסקיות שנפוצות גם בישראל.
הדרישה שהתוקף יהיה מחובר נשמעת כמו מחסום, אבל היא נחלשת מאוד לצד החולשה השנייה באותן מצלמות. תוקף יכול קודם לשלוף את סיסמת המנהל דרך חולשת חשיפת הסיסמה, ואז להשתמש בה כדי להתחבר ולהריץ פקודות דרך החולשה הזו. שתיהן יחד יוצרות שרשרת שלמה, משליטה אפסית ועד השתלטות מלאה על המצלמה.
האם מנוצלת בפועל?
כן. החולשה נכנסה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA באוגוסט 2025, יחד עם החולשה התאומה. הרשימה מתעדת חולשות שידוע שתוקפים מנצלים בשטח, ומצלמות D-Link פרוצות הן יעד מוכר לתקיפה אוטומטית.
מה עושים?
התיקון לשתי החולשות מגיע יחד באותם עדכוני קושחה (firmware) שפרסם היצרן בהודעת התמיכה SAP10180. עדכנו את המצלמה לגרסה המתוקנת של הדגם שלכם: 1.06.01 Hotfix ומעלה ל-DCS-2530L, 2.03.00 ומעלה ל-DCS-2670L, ובהתאמה לשאר הדגמים ברשימה. את הקושחה מורידים מאתר התמיכה של D-Link.
אין טעם לטפל בחולשה אחת ולהשאיר את השנייה, שכן הן משלימות זו את זו ותוקנו באותו עדכון. עד להתקנה, נתקו את המצלמה מגישה ישירה לאינטרנט ואפשרו גישה אליה רק מתוך הרשת המקומית. מצלמה שכבר אינה מקבלת עדכונים עדיף להחליף בדגם נתמך.