D-Link：是的，我们的路由器上有 4 个洞，但我们不打算修复它们

D-Link 已向客户发出警告，称其DIR-846W 路由器中存在四个远程代码执行 ( RCE ) 漏洞。这些漏洞影响所有硬件和固件版本，但由于该产品不再受支持，因此不会发布任何补丁。

这些漏洞（其中三个非常严重）是由安全研究人员 yali-1002 发现的，他在 GitHub 页面上发布了最少的详细信息。该信息发布于 2024 年 8 月 27 日，尚未出现 PoC 漏洞。

因此，在已识别的漏洞中：

CVE-2024-41622 – 通过/HNAP1/ 接口中的 tomography_ping_address 参数的 RCE 漏洞（CVSS v3 评分：9.8）。
CVE-2024-44340 – 通过 SetSmartQoSSettings 函数中的 smartqos_express_devices 和 smartqos_normal_devices 参数实现的 RCE 漏洞（由于身份验证要求，CVSS v3 评分：8.8）。
CVE-2024-44341 - 通过 lan(0)_dhcps_staticlist 参数的 RCE 漏洞，可通过特制的 POST 请求利用（CVSS v3 评分：9.8）。
CVE-2024-44342 – 通过 wl(0).(0)_ssid 参数的 RCE 漏洞（CVSS v3 评分：9.8）。

D-Link 确认了这些安全问题，但表示这些漏洞受到生命终止 ( EOL ) 政策的约束，这意味着将不会有进一步的固件更新。

尽管对 DIR-846W 的支持已于四年多前结束，但许多用户仍在继续使用这些设备，没有遇到任何问题，直到出现硬件故障或功能限制。

该公司的官方声明指出，建议停止使用该产品，因为继续使用该产品可能会对连接设备造成风险。此外，风险是绝对真实的，因为DIR-846W路由器在许多国家广泛使用，并且仍在包括拉丁美洲在内的一些地区销售。

D-Link 强烈建议您立即使用更新且受支持的型号替换过时的产品。如果无法做到这一点，您应确保设备上安装了最新的固件版本，为管理员 Web 界面使用强密码，并启用 Wi-Fi 加密。

D-Link 路由器中的漏洞经常被 Mirai 和 Moobot 等僵尸网络利用，对设备进行 DDoS 攻击。考虑到这一点，在 PoC 漏洞向公众发布之前确保路由器的安全非常重要。