D-Link pide desactivar DDP en los switches DGS-3130 ante varias vulnerabilidades sin parche

D-Link ha publicado el aviso SAP10523 para informar de varias vulnerabilidades que afectan al switch gestionado DGS-3130-30TS, en su revisión de hardware B1. La compañía recibió el 2 de noviembre un informe coordinado sobre los fallos y ha decidido publicar recomendaciones antes de que exista un firmware correctivo. No hay, por tanto, una actualización que resuelva el problema.

Dónde están los fallos

Las vulnerabilidades se concentran en el protocolo de descubrimiento de D-Link (DDP) y en varios componentes de la arquitectura de seguridad del firmware. En DDP, el informe señala debilidades en la autenticación, el control de acceso y el tratamiento de la información. En el firmware, las conclusiones afectan a la configuración de seguridad del servicio SSH, a la protección de las credenciales del sistema operativo y al cifrado del firmware y de las claves criptográficas embebidas.

Según D-Link, la explotación podría permitir a un atacante con acceso a la red afectada obtener información sensible del dispositivo, realizar operaciones administrativas no autorizadas, modificar la configuración, provocar reinicios del dispositivo, interrupciones del servicio o pérdida de configuración. También podría exponer comunidades SNMP que faciliten un acceso adicional.

Qué modelos y versiones se han examinado

El aviso identifica el DGS-3130-30TS con hardware B1 como el producto utilizado en las pruebas del investigador. Las versiones de firmware examinadas son 2.00.B014, 2.00.B034, 2.04.000 y 2.04.001. D-Link advierte de que cada hallazgo puede aplicarse a un subconjunto distinto de esas versiones y de que otros modelos DGS-3130 y otras plataformas de conmutación siguen bajo investigación. Que un producto aparezca en la investigación no significa que sea vulnerable.

La compañía tampoco ha publicado identificadores CVE. Algunos hallazgos se han enviado para su asignación o tienen identificadores reservados, pero los registros públicos aún no están disponibles. Esa ausencia dificulta el seguimiento automatizado de parches y la correlación con escáneres de vulnerabilidades.

Medidas inmediatas

La mitigación prioritaria es desactivar DDP de forma global y en las interfaces correspondientes. En la interfaz de línea de comandos del DGS-3130, D-Link indica el comando no ddp, que puede ejecutarse en modo de configuración global y en modo de configuración de interfaz. Después conviene comprobar la configuración con los comandos show ddp disponibles y guardar los cambios para que persistan tras un reinicio. Desactivar DDP puede afectar a flujos de descubrimiento o gestión que dependan del protocolo.

En segundo lugar, D-Link pide revisar SNMP y eliminar las comunidades innecesarias o predeterminadas, en particular public y private. Los comandos que propone son no snmp-server community public y no snmp-server community private, aunque la sintaxis debe verificarse en la versión de firmware instalada. Donde SNMP sea necesario, recomienda SNMPv3 con autenticación y privacidad y limitar el acceso a hosts autorizados.

La tercera medida es restringir SSH, la interfaz web y SNMP a redes de gestión y administradores designados, evitar la exposición directa a Internet y desactivar los servicios que no se utilicen. D-Link advierte de que no debe confiarse únicamente en el control de acceso del switch ni en la separación por VLAN para contener los fallos de DDP.

Copias, registros y seguimiento

Hasta que haya firmware corregido, la compañía recomienda mantener copias verificadas de la configuración, revisar las credenciales administrativas y vigilar reinicios inesperados, cambios de configuración, apagados de interfaces y restablecimientos de fábrica. Los registros de gestión y la monitorización de red pueden ayudar a detectar un acceso no autorizado. Si se sospecha una intrusión, debe activarse el procedimiento de respuesta a incidentes de la organización.

D-Link no ha dado una fecha para el firmware correctivo. Su aviso se actualizará cuando haya información verificada sobre el alcance y la solución. Mientras tanto, las medidas anteriores son provisionales y no corrigen las debilidades del firmware ajenas a DDP.