La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido recientemente tres vulnerabilidades antiguas que afectan a cámaras Wi-Fi y grabadoras de video D-Link a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV), tras detectar evidencia de que están siendo aprovechadas en ataques reales.

Estas vulnerabilidades, que datan de 2020 y 2022, han sido clasificadas como de alta severidad y son las siguientes:

• CVE-2020-25078 (CVSS 7.5): Una vulnerabilidad no especificada en los dispositivos D-Link DCS-2530L y DCS-2670L que podría permitir la divulgación remota de la contraseña del administrador.
• CVE-2020-25079 (CVSS 8.8): Una vulnerabilidad de inyección de comandos autenticada en el componente cgi-bin/ddns_enc.cgi, que también afecta a los modelos DCS-2530L y DCS-2670L.
• CVE-2020-40799 (CVSS 8.8): Una vulnerabilidad que permite la descarga de código sin verificación de integridad en el modelo D-Link DNR-322L, la cual podría permitir a un atacante autenticado ejecutar comandos a nivel del sistema operativo.

Aunque no se han revelado detalles específicos sobre cómo se están explotando estas fallas, el FBI emitió en diciembre de 2024 una alerta sobre campañas de HiatusRAT que escanean activamente cámaras vulnerables a la CVE-2020-25078.

Cabe destacar que la vulnerabilidad CVE-2020-40799 permanece sin solución, ya que el modelo afectado (DNR-322L) alcanzó su fin de vida útil (EoL) en noviembre de 2021, por lo que se recomienda a los usuarios dejar de utilizarlo y sustituirlo por un equipo más reciente. Por otro lado, D-Link lanzó parches para las otras dos vulnerabilidades en 2020, por lo que es fundamental que los usuarios verifiquen que sus dispositivos estén actualizados.

Dado que hay evidencia de explotación activa, se solicita a todas las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las medidas de mitigación correspondientes antes del 26 de agosto de 2025, con el fin de proteger sus redes frente a estas amenazas.

(Actualización: Este artículo fue modificado para aclarar que los fallos afectan a cámaras y grabadoras de video D-Link, y no a routers como se había indicado anteriormente. Lamentamos el error.)

Fuente: https://thehackernews.com/2025/08/cisa-adds-3-d-link-router-flaws-to-kev.html