Les routeurs VPN D-Link, largement utilisés dans les environnements domestiques et les petites entreprises, ont atteint leur fin de vie (End of Life, EoL) et sont vulnérables à une faille critique d’exécution de code à distance (RCE), restant exposés sans aucune mise à jour de sécurité disponible.

Résumé technique

Une vulnérabilité critique d’exécution de code à distance (RCE) non authentifiée, découverte par le chercheur delsploit, affecte les routeurs D-Link suivants :

• DSR-150
• DSR-150N
• DSR-250
• DSR-250N

La vulnérabilité affecte toutes les versions matérielles et toutes les révisions de firmware comprises entre 3.13 et 3.17B901C, permettant aux attaquants d’exécuter du code arbitraire à distance sans nécessiter d’authentification. D-Link a confirmé qu’aucune mise à jour de sécurité ne sera publiée en raison du statut EoL des appareils, et même les versions de firmware les plus récentes ne permettent pas d’atténuer le risque. L’utilisation continue de ces appareils représente une menace critique pour les réseaux et les systèmes connectés.

Recommandations

• Remplacer les appareils vulnérables : Remplacez immédiatement les routeurs concernés par des alternatives prises en charge et activement maintenues.
• Isoler les appareils : Si un remplacement immédiat n’est pas possible, isolez ces routeurs des systèmes critiques pour réduire l’exposition potentielle.