CVE-2026-71933: Kritisk fejl i DrayTek VigorSwitch
Kritisk fejl i DrayTek VigorSwitch (CVE-2026-71933) lader angribere uden login ændre konfiguration og genstarte switche. Isolér administrationsadgangen nu.
Hvad er det?
Sårbarheden findes i flere syslogfunktioner i DrayTek VigorSwitch, som er de funktioner, der styrer logning og hændelsesregistrering på switchen. Fejlen skyldes manglende autorisationskontrol, det vil sige at switchen ikke tjekker, om den, der sender en kommando, faktisk har ret til det. En angriber kan derfor sende specialkonstruerede forespørgsler over netværket og dermed ændre konfigurationen, genstarte tjenester, gemme en ny startkonfiguration eller slette logfiler, uden at logge ind først.
Hvem rammer det?
Sårbarheden rammer flere modeller af DrayTek VigorSwitch. Det er netværksswitche, som mange danske virksomheder og kommuner bruger til at koble computere, servere og andet netværksudstyr sammen internt. Alle switche, der eksponerer administrationsgrænsefladen på et netværk, angriberen kan nå, er udsat, uanset om det er via lokalnetværket eller et fjernstyringsvpn.
Hvad kan ske?
En angriber, der kan nå switchens administrationsgrænseflade, kan ændre netværkskonfigurationen, slukke logning, eller genstarte switchen. I praksis kan det betyde nedbrud af interne netværksforbindelser, tab af sporbarhed i logfiler ved en efterfølgende hændelse, eller at angriberen bruger den ændrede konfiguration som springbræt til at komme videre ind i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,1 af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Fortrolighed påvirkes ikke, men både integritet og tilgængelighed rammes hårdt, fordi angriberen kan ændre og afbryde driften. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes eller at der findes offentligt tilgængelig angrebskode, men den lave adgangsbarriere gør den attraktiv at udnytte.
Hvad gør jeg nu?
Følg punkterne i nævnte rækkefølge.
- Fjern administrationsgrænsefladen på VigorSwitch fra internettet, og begræns adgangen til et separat administrationsnetværk eller vlan, kun tilgængeligt for it-personale.
- Tjek om DrayTek har udgivet en firmwareopdatering til jeres model, og opdatér, så snart den er tilgængelig.
- Deaktivér fjernsyslogfunktioner, hvis de ikke er nødvendige for driften.
- Gennemgå switch-logs for uventede konfigurationsændringer, genstarter eller ryddede logfiler.
- Overvåg DrayTeks sikkerhedsside for opdateringer om denne sårbarhed.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres switche er eksponerede, eller hvis I mangler ressourcer til at segmentere netværket akut.
Isolér administrationsadgang inden 24 timer
Vi anbefaler, at I straks begrænser adgangen til administrationsgrænsefladen på jeres DrayTek VigorSwitch til et lukket administrationsnetværk, da det lukker det direkte angrebspunkt uden at kræve en opdatering. Det er kun i orden at vente til en fast servicevindue, hvis switchen allerede er fuldt isoleret fra internettet og fra almindelige brugernetværk. Har I switche, der er tilgængelige fra internettet eller fra et bredt internt netværk, bør I handle med det samme.
Tidslinje
Konkrete eksempler
Uautoriseret ændring af switchkonfiguration i produktionsnetværk
En dansk produktionsvirksomhed har en DrayTek VigorSwitch, hvis administrationsgrænseflade er tilgængelig fra det interne kontornetværk uden yderligere afskærmning. En medarbejders inficerede computer bruges til at sende specialkonstruerede forespørgsler til switchen, som ændrer konfigurationen og rydder logfilerne. Resultatet er et netværksudfald på produktionsgulvet og manglende logspor til at afklare, hvad der skete.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I bruger en af de nævnte DrayTek VigorSwitch-modeller, og administrationsgrænsefladen kan nås fra et netværk, en angriber har adgang til. Tjek jeres netværksdiagram og find alle DrayTek-switche i miljøet.
Hvordan kan vi tjekke, om vores switch er sårbar?
Kontrollér modelnavn og firmwareversion på switchens administrationsgrænseflade, og hold det op mod DrayTeks sikkerhedsmeddelelser. Kan administrationsgrænsefladen nås uden VPN eller adgangsbegrænsning, bør I betragte den som eksponeret.
Kan vi vente til weekenden med at gøre noget?
Nej, ikke hvis administrationsgrænsefladen er tilgængelig fra internettet eller fra almindelige interne netværk. Adgangen kræver ingen login, så risikoen løber, indtil I har afskærmet grænsefladen.
Skal vi anmelde dette til Datatilsynet?
Sårbarheden påvirker ikke fortroligheden af data, kun integritet og tilgængelighed af switchens funktion. Der er derfor normalt ikke tale om et databrud, medmindre I konstaterer, at persondata reelt er blevet tilgået eller lækket i forbindelse med et angreb.
Findes der en officiel opdatering fra DrayTek?
Der er ikke oplysninger om en udgivet firmwareopdatering på offentliggørelsestidspunktet. Følg DrayTeks sikkerhedsside, og indfør i mellemtiden netværksafskærmning som midlertidig løsning.
Hvad gør vi, hvis vi ikke kan segmentere netværket lige nu?
Overvej at flytte switchens administrationsport til et separat fysisk netværk eller bruge en firewall-regel, der kun tillader adgang fra kendte it-administratorers ip-adresser, indtil en permanent løsning er på plads.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Multiple DrayTek VigorSwitch models contain unauthorized operation vulnerabilities in multiple syslog functions. The vulnerability is caused by missing authorization checks. A remote attacker can trigger these vulnerabilities via crafted requests to modify configuration, restart services, save startup configuration, or clear logs.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.