D-Link M60
D-Link M60: credenziali fisse nel broker MQTT emDaemon accessibili da remoto
Il problema, secondo i dati ufficiali
- Nel componente emDaemon MQTT Broker di D-Link M60, la funzione system del file /etc/emDaemon/mosquitto.conf contiene credenziali hard-coded, cioè scritte in modo fisso nel codice.
- L'attacco può essere eseguito da remoto, via rete (quindi anche da internet se il servizio è esposto), senza bisogno di un account, secondo il punteggio ufficiale.
- È stato pubblicato un exploit.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- M60: 1.12.B01
Fonti ufficiali
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
A vulnerability has been found in D-Link M60 1.12.B01. Impacted is the function system of the file /etc/emDaemon/mosquitto.conf of the component emDaemon MQTT Broker. Such manipulation leads to hard-coded credentials. The attack can be executed remotely. The exploit has been disclosed to the public and may be used.
Non sai se ti riguarda?
Se usi D-Link M60 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.