CVE-2026-101081: Kritisk fejl i D-Link DI-8400-router
Kritisk fejl i D-Link DI-8400-routere kan udnyttes af en logget ind administrator til at overtage enheden. Luk fjernadgang til administrationssiden.
Hvad er det?
Der er fundet en sikkerhedsfejl i D-Link DI-8400 firmware 16.07. Fejlen sidder i webadministrationstjenesten, i funktionen menu_nat_more_asp i filen menu_nat_more.asp. Ved at manipulere parameteren opt kan en angriber udløse et stack-baseret bufferoverløb: programmet skriver mere data ind i en fast reserveret hukommelsesblok end der er plads til, hvilket kan overskrive nærliggende hukommelse og give angriberen mulighed for at afvikle egen kode på routeren. Angrebet kan udføres over netværket, og der findes offentligt tilgængelig kode til at udnytte fejlen.
Hvem rammer det?
Fejlen rammer D-Link DI-8400-routere med firmware version 16.07, hvor webadministrationsgrænsefladen er tilgængelig. Det gælder typisk mindre virksomheder og kontorer, der bruger enheden som router eller NAT-gateway (network address translation, altså oversættelse mellem interne og eksterne IP-adresser), og hvor administrationssiden kan nås fra internettet eller fra et lokalnetværk med mange brugere.
Hvad kan ske?
En angriber, der allerede har administratoradgang til webgrænsefladen, kan udløse bufferoverløbet og få fuld kontrol over routeren. Det kan betyde, at angriberen omdirigerer trafik, aflytter data, sætter routeren ud af drift, eller bruger den som springbræt videre ind i virksomhedens interne netværk. For en dansk SMV, der har denne router som eneste netværksenhed, kan det betyde tab af internetforbindelse og adgang til interne systemer for hele kontoret.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ikke brugerhandling fra offeret, men kræver høje privilegier (PR:H), altså at angriberen allerede har administratorlogin til routerens webgrænseflade. Det gør fejlen mindre akut end en fejl uden krav om login, men stadig alvorlig, fordi konsekvensen ved udnyttelse er fuld kontrol over enheden (høj fortrolighed, integritet og tilgængelighed påvirket). Der er offentliggjort kode til at udnytte fejlen, men det er ikke oplyst, at den aktivt bliver udnyttet i angreb.
Hvad gør jeg nu?
Gør følgende i prioriteret rækkefølge:
- Fjern adgang til routerens webadministration fra internettet, og begræns den til et lukket administrationsnetværk eller specifikke IP-adresser. Det lukker den mest sandsynlige angrebsvej.
- Skift alle administratoradgangskoder til routeren, og brug lange, unikke koder. Da angrebet kræver et gyldigt administratorlogin, er stærke og hemmeligholdte koder en central beskyttelse.
- Undersøg om D-Link har udgivet en opdateret firmwareversion til DI-8400, og opdatér, hvis den findes.
- Er der ingen opdatering tilgængelig, og enheden er ældre eller udgået (end of life), bør I planlægge udskiftning til en understøttet router.
- Gennemgå logs for usædvanlige forespørgsler mod menu_nat_more.asp eller uventede administratorlogin.
- Hent hjælp udefra, hvis I ikke selv kan afgøre, om administrationsgrænsefladen er eksponeret, eller hvis I ikke har en opdateret firmware til rådighed.
Luk fjernadgang inden for 24 timer
Vi anbefaler, at I straks lukker adgangen til routerens webadministration fra internettet og skifter administratoradgangskoder, uanset om der findes en firmwareopdatering. Det er i orden at vente med selve firmwareopdateringen, hvis administrationsgrænsefladen allerede er isoleret til et lukket netværk, og I har kontrol over, hvem der har administratoradgang. Er enheden udgået eller uden opdateringer, bør I lægge en plan for udskiftning, da fejlen ellers forbliver åben permanent.
Tidslinje
Konkrete eksempler
Stjålet administratorlogin bruges til at overtage routeren
En medarbejder i en mindre dansk virksomhed klikker på et phishing-link og afgiver sit administratorlogin til virksomhedens D-Link DI-8400. En angriber bruger loginoplysningerne til at udnytte bufferoverløbet i menu_nat_more.asp og får fuld kontrol over routeren. Angriberen omdirigerer herefter trafik fra virksomhedens netværk og får indblik i intern kommunikation, uden at nogen i virksomheden bemærker det med det samme.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en D-Link DI-8400 med firmware 16.07, og webadministrationssiden er tilgængelig, enten fra internettet eller fra et internt netværk med mange brugere.
Hvordan tjekker vi, om vores router er sårbar?
Log ind på routerens administrationsside, og kontrollér firmwareversionen under systeminformation. Er versionen 16.07, bør I følge anbefalingerne. Kontrollér også, om administrationssiden kan nås fra internettet ved at teste adgang udefra.
Kan vi vente til weekenden med at gøre noget?
Hvis administrationsgrænsefladen allerede er lukket for internettet og kun tilgængelig internt for få betroede personer, kan I vente til en planlagt opdatering. Er grænsefladen tilgængelig fra internettet, bør I lukke den, inden I går hjem.
Skal vi anmelde dette til myndighederne?
Der er ingen oplysning om, at fejlen aktivt udnyttes i angreb. Har I konkrete tegn på, at jeres router er blevet kompromitteret, bør I overveje at kontakte CFCS eller jeres it-sikkerhedsleverandør for rådgivning om anmeldelse.
Findes der en officiel firmwareopdatering fra D-Link?
Det er ikke oplyst i denne sårbarhedsbeskrivelse. Vi anbefaler, at I selv kontrollerer D-Links supportside for DI-8400, da modellen kan være udgået af support.
Hvorfor er scoren så høj, når angrebet kræver administratorlogin?
Scoren er høj, fordi konsekvensen ved udnyttelse er fuld kontrol over routeren. Kravet om administratorlogin gør angrebet sværere at udføre for en udenforstående, men mindre farligt bliver konsekvensen ikke, hvis angriberen først har fået login, for eksempel via stjålne oplysninger.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in D-Link DI-8400 16.07. This vulnerability affects the function menu_nat_more_asp of the file menu_nat_more.asp of the component Web Administration Service. The manipulation of the argument opt results in stack-based buffer overflow. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.