CVE-2026-12174: Alvorlig fejl i D-Link DCS-935L kamera
Ekstern sårbarhed i webkameraet D-Link DCS-935L kan give en angriber fuld kontrol. Der findes ingen rettelse, så enheden bør isoleres eller udskiftes.
Hvad er det?
CVE-2026-12174 er en sårbarhed i webkameraet D-Link DCS-935L, version 1.10.01. Fejlen sidder i funktionen snprintf i filen /web/cgi-bin/greece/rhea, som er en del af kameraets webgrænseflade. Der er tale om en format string-sårbarhed: kameraet bruger data, som en bruger sender ind, direkte som formateringsinstruks i stedet for at behandle det som almindelig tekst. Det kan give en angriber mulighed for at læse eller overskrive kameraets hukommelse og i praksis overtage enheden. Sårbarheden er relateret til en klasse af fejl (CWE-119), der ofte fører til bufferoverløb, hvor programmet skriver mere data end der er plads til.
Hvem rammer det?
Sårbarheden rammer specifikt D-Link DCS-935L med firmwareversion 1.10.01. Kameraet er en ældre model, der typisk bruges til overvågning i mindre butikker, kontorer, hjemmekontorer og af private, ofte tilsluttet det samme netværk som printere, kasseapparater eller anden it-udstyr.
Hvad kan ske?
En angriber, der har adgang til netværket eller til kameraets webgrænseflade med et lavt privilegeret login, kan udnytte fejlen uden at brugeren skal foretage sig noget. Det kan føre til fuld overtagelse af kameraet, adgang til liveoptagelser, og i værste fald bruges kameraet som springbræt videre ind i virksomhedens netværk, hvor det kan give adgang til andre systemer og data.
Hvor alvorligt er det?
CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kan ske over netværket uden brugerinteraktion, men kræver et lavt niveau af adgang, for eksempel en gæstekonto eller standardadgangskode på kameraet. Der findes offentliggjort kode, der demonstrerer sårbarheden, hvilket gør det let for en angriber at udnytte den, når først adgangen er opnået.
Hvad gør jeg nu?
Da der endnu ikke er set en rettelse fra D-Link, handler indsatsen om at begrænse adgangen til kameraet og på sigt udskifte det.
- Frakobl kameraet fra internettet, og placér det i et isoleret netværkssegment adskilt fra kontor- og forretningssystemer.
- Skift standardadgangskoder på kameraet, og deaktiver fjernadgang og portvideresendelse til enheden.
- Undersøg om D-Link har udsendt en nyere firmwareversion til DCS-935L; er det ikke tilfældet, må enheden betragtes som varigt sårbar.
- Gennemgå netværkslogs for trafik til stien /web/cgi-bin/greece/rhea, der kan indikere forsøg på udnyttelse.
- Planlæg udskiftning af kameraet med en model, der stadig modtager sikkerhedsopdateringer.
- Kontakt en it-sikkerhedspartner, hvis I ikke selv kan vurdere, om kameraet er tilgængeligt fra internettet eller om netværket allerede er kompromitteret.
Ingen rettelse: isolér og udskift
Vi anbefaler, at kameraet straks tages ud af drift på internettet og placeres på et adskilt netværk, indtil det udskiftes med en understøttet model. Det er ikke forsvarligt at vente, da der findes offentligt tilgængelig kode til at udnytte fejlen, og der ikke er udsigt til en officiel rettelse fra D-Link. Er kameraet allerede isoleret fra internettet og andre systemer, kan udskiftningen planlægges over de kommende uger frem for at ske akut.
Tidslinje
Konkrete eksempler
Overvågningskamera i en mindre butik
En detailbutik har opsat et D-Link DCS-935L kamera til overvågning af lageret, tilsluttet samme netværk som kassesystemet. En angriber, der får adgang til gæstenetværket eller en svag konto på kameraet, udnytter fejlen til at overtage kameraet og bruger det som springbræt til at scanne resten af netværket, herunder kassesystemet. Butikken opdager først problemet, da der registreres unormal netværkstrafik fra kameraets ip-adresse.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte model?
Log ind på kameraets webgrænseflade eller D-Link-appen, og tjek modelnavn og firmwareversion under systemoplysninger. Modellen hedder DCS-935L, og den sårbare version er 1.10.01. Er I i tvivl, kan vi hjælpe med at afdække jeres netværk for udsatte enheder.
Kan vi vente til weekenden med at gøre noget?
Det frarådes. Der findes offentliggjort kode til at udnytte sårbarheden, og der er ikke udsigt til en officiel rettelse. Isolér kameraet fra internettet så hurtigt som muligt, og planlæg udskiftning derefter.
Findes der en firmwareopdatering, vi kan installere?
Der er ingen kendt firmwareopdatering fra D-Link, der lukker denne sårbarhed. Modellen er ældre og betragtes som udgået, hvorfor den bedste løsning er isolering og efterfølgende udskiftning.
Skal vi anmelde hændelsen til nogen?
Er der tale om et konkret angreb, hvor kameraets optagelser eller netværket er blevet kompromitteret, og optagelserne indeholder persondata, kan det udløse en anmeldelsespligt til Datatilsynet. Kontakt jeres databeskyttelsesrådgiver for en vurdering.
Kan vi bare deaktivere fjernadgang og fortsætte med at bruge kameraet?
Det reducerer risikoen, hvis kameraet kun er tilgængeligt fra jeres eget netværk, men fjerner ikke sårbarheden. Et internt netværk med en kompromitteret enhed på et andet punkt kan stadig nå kameraet. Isolering i et separat netværkssegment er den mest robuste midlertidige løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in D-Link DCS-935L 1.10.01. This issue affects the function snprintf of the file /web/cgi-bin/greece/rhea of the component HTTP Handler. Such manipulation of the argument data leads to format string. The attack may be launched remotely. The exploit has been disclosed publicly and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.