老舊產品的資安漏洞問題陰魂不散！D-Link揭露已終止支援的VPN路由器存在RCE漏洞

11月18日D-Link發布資安公告，指出有研究人員向他們通報漏洞，此為記憶體緩衝區溢位弱點，未經授權的攻擊者有機會遠端於設備上執行任意程式碼，影響DSR-150、DSR-150N、DSR-250、DSR-250N、DSR-500N、DSR-1000N等多款VPN路由器，值得留意的是，由於這些設備已於今年5月生命週期結束（EOL），該公司不予修補，呼籲用戶要儘速汰換設備。

不過，這次與過往有所不同的是，該公司並未公布漏洞的CVE編號，僅有提及由研究人員delsploit通報，並指出研究人員在搭配特定版本韌體的DSR-250、DSR-250N當中，發現這項漏洞。

附帶一提的是，該公司今天更新公告內容，他們針對願意購買新設備汰換的美國用戶促銷，提供第2代DSR-250八折優惠，線上商城將會在結帳的時候，自動從209.99美元降為168美元。這樣的公告內容，過往並不常見。

除了最新揭露的VPN舊款路由器產品漏洞，近期研究人員揭露D-Link生命週期結束設備的漏洞消息，已累積好幾起，突顯用戶淘汰老舊網路設備的腳步太慢，導致這些無藥可救治新病的裝置，成為攻擊者得以輕易進行滲透與綁架的目標。例如，研究人員Netsecfish找到的重大層級漏洞CVE-2024-10914，事隔一週，Shadowserver基金會證實出現攻擊行動。