CVE-2026-82688: Kritisk fejl i D-Link DNS-340L og DNS-345
Kommandoinjektion i D-Link DNS-340L og DNS-345 NAS giver angriber med adminadgang fuld kontrol over enheden. Isolér enheden fra internettet.
Hvad er det?
Sårbarheden findes i filen /cgi-bin/virtual_vol.cgi, en del af funktionen Virtual Volume Handler i D-Link DNS-340L og DNS-345, som er netværksdiske (NAS-enheder) til fildeling og backup. Parametrene f_sharename, f_target og f_name renses ikke korrekt, før de sendes til enhedens kommandolinje. En angriber kan derfor indsætte egne systemkommandoer, som udføres med webserverens rettigheder. Angrebet kræver, at angriberen allerede har en konto med høje rettigheder på enheden, men kræver ingen handling fra en bruger. Der findes offentligt tilgængelig kode, der demonstrerer angrebet.
Hvem rammer det?
Virksomheder, foreninger og hjemmekontorer, der bruger D-Link DNS-340L eller DNS-345 med firmware 1.01B04, 1.03B06, 1.04.B02 eller 1.05b04. Enhederne bruges typisk til fildeling, backup og som central lagerplads i mindre it-miljøer uden dedikeret it-afdeling.
Hvad kan ske?
En angriber, der allerede har eller opnår administratoradgang til NAS-enheden, kan udføre vilkårlige kommandoer på systemet. Det giver mulighed for at læse, ændre eller slette alle filer, installere skadelig kode eller bruge enheden som springbræt videre ind i virksomhedens netværk. Da NAS-enheder ofte opbevarer backup og delte dokumenter, kan et kompromis betyde datatab, driftsstop og risiko for at fortrolige oplysninger spredes.
Hvor alvorligt er det?
CVSS-scoren er 9,1 af 10, hvilket er kritisk. Angrebet sker over netværket med lav kompleksitet, men kræver, at angriberen allerede har en konto med høje rettigheder på enheden. Der kræves ingen handling fra en bruger. Udnyttelse giver fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der findes offentliggjort kode til angrebet, så det kan bruges af enhver, der opnår administratoradgang, for eksempel via en stjålet adgangskode eller en anden sårbarhed.
Hvad gør jeg nu?
D-Link DNS-340L og DNS-345 er ældre NAS-modeller, og der er ikke oplyst en opdatering, der lukker hullet. Derfor handler det først og fremmest om at begrænse adgangen til enheden.
- Fjern enheden fra direkte internetadgang, og begræns netværksadgang til kun betroede interne systemer.
- Undersøg hos D-Link, om der findes en nyere firmwareudgave til jeres model, da produkterne er ældre og muligvis ikke længere får sikkerhedsopdateringer.
- Gennemgå administratorkonti på enheden, fjern unødvendige konti, og skift alle adgangskoder.
- Gennemgå logs for uventede kommandoer eller ændringer i filsystemet, der kan tyde på misbrug.
- Planlæg udskiftning af enheden med en NAS-model, der stadig understøttes med sikkerhedsopdateringer.
- Søg hjælp udefra, hvis I ikke kan isolere enheden internt, eller hvis I finder tegn på, at den allerede er kompromitteret.
Isolér enheden nu, ingen opdatering findes
Vi anbefaler, at I straks fjerner D-Link DNS-340L og DNS-345 fra direkte internetadgang og begrænser adgangen til betroede interne brugere, da der ikke findes en opdatering, der lukker hullet. Det er kun forsvarligt at vente, hvis enheden allerede er fuldstændig isoleret fra internettet og kun tilgås af et lille antal betroede administratorer med sikre adgangskoder. På sigt bør enheden udskiftes, da modellen er ældre og ikke længere ser ud til at få sikkerhedsopdateringer.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto på backup-NAS
En mindre dansk virksomhed bruger en D-Link DNS-345 til daglig backup af regnskabsdata. En medarbejders administratoradgangskode til NAS-enheden bliver lækket via en anden tjeneste, hvor samme adgangskode blev genbrugt. En angriber logger på enhedens administrationsgrænseflade og udnytter sårbarheden i virtual_vol.cgi til at udføre systemkommandoer, der giver fuld kontrol over enheden. Angriberen krypterer eller sletter backupdataene, hvilket standser virksomhedens muligheder for at gendanne data efter et separat angreb mod hovedservere.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en D-Link DNS-340L eller DNS-345 med firmware 1.01B04, 1.03B06, 1.04.B02 eller 1.05b04. Tjek enhedens administrationsside for firmwareversion, eller kontakt jeres it-leverandør, hvis I er i tvivl.
Findes der en opdatering, der lukker hullet?
Der er ikke oplyst en officiel opdatering fra D-Link på nuværende viden. Enhederne er ældre modeller, og I bør undersøge, om D-Link stadig udgiver sikkerhedsopdateringer til jeres specifikke firmwareversion.
Kan vi vente til weekenden med at gøre noget?
Det er forsvarligt at vente, hvis enheden allerede kun er tilgængelig fra jeres interne netværk og ikke eksponeret mod internettet. Er enheden tilgængelig udefra, bør I begrænse adgangen nu, da der findes offentligt tilgængelig kode til angrebet.
Hvordan tjekker vi, om enheden allerede er kompromitteret?
Gennemgå enhedens logfiler for uventede administratorlogin, ukendte filer eller ændringer i delte mapper. Se også efter nye brugerkonti eller uforklarlige processer, hvis enheden giver mulighed for det.
Skal vi anmelde dette til myndighederne?
Kun hvis enheden faktisk bliver misbrugt og personoplysninger kompromitteres, skal I vurdere anmeldelse til Datatilsynet efter reglerne om databrud. Selve sårbarheden skal ikke anmeldes, men et konstateret misbrug kan udløse anmeldepligt.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ingen handling fra en bruger. Det kræver dog, at angriberen allerede har en konto med administratorrettigheder på enheden, hvilket typisk sker via stjålne adgangskoder eller en anden sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in D-Link DNS-340L and DNS-345 1.01B04/1.03B06/1.04.B02/1.05b04. This impacts an unknown function of the file /cgi-bin/virtual_vol.cgi of the component Virtual Volume Handler. The manipulation of the argument f_sharename/f_target/f_name leads to os command injection. Remote exploitation of the attack is possible. The exploit has been disclosed publicly and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.