CVE-2026-82592: Kritisk fejl i D-Link DIR-825M router
Kritisk fejl i D-Link DIR-825M routere kan give angribere fuld kontrol over enheden. Tjek firmwareversion og opdatér eller udskift routeren.
Hvad er det?
Sårbarheden findes i D-Link DIR-825M routere med firmware 1.1.8, i funktionen der håndterer diskformatering på adressen /boafrm/formDiskFormat. Fejlen er en stack-baseret bufferoverløb, hvilket betyder at programmet skriver mere data ind i et hukommelsesområde end det er beregnet til, så data flyder over i tilstødende hukommelse og kan overskrive kontrolinformation. Ved at manipulere parameteren ‘partition’ kan en angriber få routeren til at afvikle vilkårlig kode. Angrebet kan udføres over netværket, og der findes offentligt tilgængelig angrebskode, som gør det muligt at udnytte fejlen uden selv at udvikle den.
Hvem rammer det?
Det rammer virksomheder og hjemmekontorer, der bruger D-Link DIR-825M med firmware 1.1.8, typisk som netværksrouter med tilsluttet USB-drev til fildeling. Routere af denne type bruges ofte i mindre virksomheder, filialkontorer og af selvstændige som en billig løsning til netværk og simpel lagring.
Hvad kan ske?
En angriber, der udnytter fejlen, kan overtage routeren fuldstændigt og dermed kontrollere al netværkstrafik, der går igennem den. Det åbner for aflytning af data, omdirigering af trafik til falske hjemmesider, og brug af routeren som indgang til resten af virksomhedens netværk. Er routeren tilgængelig fra internettet med fjernadministration, kan angrebet ske uden fysisk adgang til kontoret.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Der kræves dog en lav grad af rettigheder, altså en form for adgang til routerens administrationsgrænseflade, hvilket i praksis ofte er let at opnå, hvis routeren bruger standardadgangskode eller er eksponeret mod internettet. Der findes offentligt angrebskode til sårbarheden, hvilket gør den nem at udnytte for enhver med kendskab til den.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Tjek om jeres D-Link DIR-825M kører firmware 1.1.8, og opdatér til nyeste firmware fra D-Links hjemmeside, hvis en rettet version findes.
- Findes der ingen opdateret firmware, skal fjernadministration af routeren slås fra, så administrationsgrænsefladen kun kan tilgås fra det interne netværk.
- Skift standardadgangskoden til routerens administrationspanel til en unik og stærk adgangskode.
- Overvej at udskifte routeren, hvis D-Link ikke længere understøtter modellen med sikkerhedsopdateringer.
- Segmentér netværket, så routeren ikke har direkte adgang til kritiske systemer og data.
- Kontakt os, hvis I er usikre på, om jeres router er ramt, eller hvis I har brug for hjælp til at gennemgå netværkets opsætning.
Opdatér eller udskift routeren snarest
Vi anbefaler, at I straks tjekker firmwareversionen på jeres D-Link DIR-825M og lukker fjernadministration, indtil en opdatering er på plads. Findes der ingen rettelse fra D-Link, anbefaler vi at udskifte routeren, da offentligt tilgængelig angrebskode gør sårbarheden nem at udnytte. Det er ikke forsvarligt at vente med at handle, da angrebet kan udføres over internettet uden brugerinteraktion.
Tidslinje
Konkrete eksempler
Mindre kontor med router som fildeling
Et mindre dansk ingeniørfirma bruger en D-Link DIR-825M med tilsluttet USB-drev til at dele filer mellem medarbejdere. Fjernadministration er aktiveret, så it-ansvarlige kan tilgå routeren hjemmefra. En angriber finder routeren via internettet, udnytter sårbarheden gennem diskformateringsfunktionen og får adgang til routerens styring, hvorfra al netværkstrafik kan aflyttes.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Log ind på routerens administrationsgrænseflade og find firmwareversionen under systeminformation. Er den D-Link DIR-825M med firmware 1.1.8, er den potentielt sårbar.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Sårbarheden har den højeste alvorlighedsgrad, kræver ingen brugerinteraktion, og der findes allerede offentlig angrebskode. Jo længere routeren er eksponeret, desto større er risikoen.
Er vi ramt, hvis vi ikke bruger diskformateringsfunktionen?
Ja. Sårbarheden ligger i selve funktionen på routeren og kan udnyttes, uanset om I aktivt bruger diskformatering, så længe funktionen findes på enheden og den er tilgængelig fra netværket.
Skal vi anmelde hændelsen, hvis vi er blevet angrebet?
Har I konstateret et faktisk angreb med kompromittering af data eller systemer, kan I være forpligtet til at anmelde det til Datatilsynet, hvis persondata er berørt. Kontakt os eller jeres databeskyttelsesrådgiver for en konkret vurdering.
Findes der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Slå fjernadministration fra, så routerens administrationspanel kun kan tilgås fra det interne netværk, og skift standardadgangskoden. Det reducerer risikoen, men fjerner den ikke helt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in D-Link DIR-825M 1.1.8. This affects the function sub_46725C of the file /boafrm/formDiskFormat of the component Disk Formatting Handler Endpoint. The manipulation of the argument partition results in stack-based buffer overflow. The attack can be executed remotely. The exploit is now public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.