近期，多款已停止支持的D-Link网络附加存储（NAS）设备被曝出存在严重的安全漏洞。这个漏洞的追踪编号为CVE-2024-3273，它主要涉及到通过“system”参数的命令注入问题，以及针对硬编码账户（用户名：“messagebus”和空密码）的后门，可以在设备上执行远程攻击命令。

D-Link NAS 设备被曝高危安全漏洞 第5张插图

据研究，受影响的设备型号包括DNS-320L Version 1.11, Version 1.03.0904.2013, Version 1.01.0702.2013；DNS-325 Version 1.01；DNS-327L Version 1.09, Version 1.00.0409.2013；DNS-340L Version 1.08。

D-Link NAS 设备被曝高危安全漏洞 第6张插图

这个漏洞可以让攻击者在系统上执行任意命令，可能导致未经授权访问敏感信息、修改系统配置或拒绝服务情况。

应对措施

由于这些设备已经达到了使用寿命（EOL），不再处于支持状态，因此它们不具备自动在线更新功能，也无法像当前机型那样具有发送通知的客户扩展功能。D-Link建议使用这些设备的用户退役相关产品，并选择可以接收固件更新的相关新产品。