CVE-2026-120189 : D-Link DIR-505 buffer overflow CVSS 10

Les faits

La vulnérabilité CVE-2026-120189, divulguée publiquement le 1er novembre 2026, affecte le routeur D-Link DIR-505 dans sa version de firmware 1.10B02. Cette faille reçoit le score CVSS maximum de 10.0 sur les trois échelles d'évaluation CVSS 2, CVSS 3.1 et CVSS 4, ce qui la classe parmi les vulnérabilités les plus critiques du moment. La faiblesse est référencée CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) et CWE-121 (Stack-based Buffer Overflow). La divulgation s'accompagne immédiatement d'un proof-of-concept public, aggravant considérablement le niveau de risque pour les équipements exposés.

La faille se situe dans le composant TFTP Upload Filename Handler, plus précisément dans les fonctions save_upload_file et mp_upload_file du binaire /usr/bin/tftpd. Le service TFTP (Trivial File Transfer Protocol) écoute sur le port UDP 69. Lors du traitement d'un nom de fichier envoyé dans une requête de téléversement TFTP, l'absence de validation adéquate de la longueur des données reçues permet à un attaquant distant de provoquer un dépassement de tampon sur la pile (stack-based buffer overflow). Ce type de vulnérabilité est parmi les plus classiques de l'exploitation de systèmes embarqués.

Un dépassement de tampon basé sur la pile permet à un attaquant de contrôler le flux d'exécution du programme vulnérable. En écrivant des données au-delà des limites allouées sur la pile, il est possible d'écraser des adresses de retour et de rediriger l'exécution vers un shellcode ou une payload malveillante. Dans le contexte d'un routeur embarqué comme le DIR-505, cela signifie qu'un attaquant peut obtenir une exécution de code arbitraire avec les droits du processus TFTP — généralement root sur ce type d'équipement — et prendre le contrôle total du périphérique réseau.

La divulgation de CVE-2026-120189 s'accompagne de la publication d'un proof-of-concept (PoC) public sur GitHub, dans le dépôt Walnut1337/DIR-505_filename_rce. La disponibilité immédiate d'un PoC élève considérablement le risque d'exploitation, car elle abaisse la barrière technique pour tout attaquant souhaitant tirer profit de cette vulnérabilité. Selon Rapid7 Vulnerability Database et les trackers de vulnérabilités TheHackerWire, offseq.com et cve.threatint.com, le PoC est fonctionnel et ne nécessite aucune authentification préalable pour être exécuté contre un équipement exposé.

Le vecteur CVSS est particulièrement défavorable : AV:N (réseau), AC:L (complexité faible), PR:N (aucun privilège requis), UI:N (aucune interaction utilisateur). Ces conditions réunies portent la note de criticité au score maximum CVSS 10. La surface d'attaque se limite aux équipements dont le service TFTP est accessible depuis le réseau — qu'il s'agisse d'un réseau local ou, dans les configurations les plus risquées, directement depuis Internet. Les moteurs de recherche d'équipements connectés comme Shodan référencent des DIR-505 avec le port UDP 69 exposé publiquement.

D-Link n'a pas encore publié de correctif officiel pour cette vulnérabilité à la date du 1er novembre 2026. L'absence de patch en fait une vulnérabilité sans remède immédiat. Le D-Link DIR-505 est un routeur portable de la gamme SharePort, souvent déployé dans des environnements nomades, hôtels et petites structures pour créer des points d'accès Wi-Fi temporaires. Son ancienneté (firmware 1.10B02) suggère que D-Link pourrait ne pas publier de correctif, ce modèle étant potentiellement en fin de support officiel. La politique de D-Link sur les équipements EOL (End of Life) ne garantit pas de patch pour ce type de vulnérabilité.

L'information a été indexée dans la base de données NVD/NIST sous CVE-2026-120189 ainsi que dans les trackers Rapid7, PtSecurity (PT-2026-134682), offseq.com et strix.ai. La communauté de recherche en sécurité offensive a rapidement intégré ce CVE dans ses outils de scan automatisé. D'après les données de PT-2026-134682 de Positive Technologies, le vecteur d'attaque peut être utilisé dans des scénarios d'attaque sur des réseaux Wi-Fi d'entreprise utilisant ce routeur comme borne d'accès temporaire lors d'événements ou de déplacements professionnels.

Il convient de noter que le D-Link DIR-505, malgré son ancienneté, reste présent dans de nombreux inventaires d'actifs IT, notamment dans des contextes de travail mobile, de conférence ou d'hébergement temporaire. Les équipes en charge de la gestion des actifs réseau doivent identifier et isoler immédiatement tout équipement de ce modèle dans leur parc. Une exploitation en masse (mass scanning) utilisant le PoC public est probable dans les prochains jours compte tenu de la disponibilité des outils et du score CVSS maximal. Les botnets IoT sont également connus pour cibler rapidement les équipements réseau affectés par des CVE avec PoC disponibles.

Impact et exposition

Tout équipement D-Link DIR-505 exécutant le firmware 1.10B02 avec le service TFTP actif est directement exposé à CVE-2026-120189. L'exploitation ne nécessite aucune authentification ni interaction utilisateur, ce qui en fait une cible de choix pour les scans automatisés et les botnets IoT. Un attaquant ayant accès réseau sur lequel est connecté le DIR-505 peut prendre le contrôle total de l'équipement sans aucun credential.

La compromission d'un routeur permet de rediriger le trafic réseau (attaque de type man-in-the-middle), d'intercepter des communications non chiffrées, de créer des pivots dans le réseau interne, ou d'intégrer l'équipement dans un botnet DDoS. Dans des environnements professionnels où le DIR-505 est utilisé pour créer des réseaux temporaires lors de déplacements ou d'événements, une compromission peut exposer l'ensemble des communications des utilisateurs connectés au point d'accès.

La disponibilité d'un PoC public signifie que l'exploitation est à la portée d'un attaquant peu expérimenté. Les interfaces de recherche d'équipements connectés comme Shodan ou Censys référencent de nombreux DIR-505 exposés directement sur Internet. Une exploitation de masse est probable dans les 24 à 72 heures suivant la divulgation, selon les patterns observés sur des CVE similaires avec PoC immédiatement disponibles sur des équipements réseau grand public.

Recommandations immédiates

• Désactiver immédiatement le service TFTP sur le D-Link DIR-505 — aucun patch officiel disponible (D-Link Security Advisory non encore publié)
• Bloquer le port UDP 69 sur les équipements de filtrage réseau (pare-feu, routeurs de bordure) pour isoler tout service TFTP résiduel
• Inventorier les équipements DIR-505 dans le parc informatique et planifier leur remplacement par un modèle activement maintenu
• Isoler tout DIR-505 ne pouvant pas être désactivé immédiatement dans un VLAN dédié sans accès aux ressources sensibles
• Monitorer les journaux réseau pour toute connexion inhabituelle sur le port UDP 69 vers des équipements DIR-505