CVE-2026-85222: Kritisk fejl i D-Link DNS-340L NAS

CVE-2026-85222 er en kommandoinjektion, det vil sige en fejl hvor et program sender brugerens input direkte videre til styresystemet uden at rense det, så en angriber kan få enheden til at udføre egne kommandoer. Fejlen findes i filen /cgi-bin/addon_center.cgi, som hører til Add-On Center-funktionen i D-Link DNS-340L. Parametrene f_name, f_url, f_flag og f_login_user kan manipuleres, så angriberens kommandoer bliver kørt med enhedens egne rettigheder. Angrebet kan udføres over netværket uden brugerinteraktion fra en administrator. Fremgangsmåden til at udnytte fejlen er offentliggjort.

Sårbarheden rammer D-Link DNS-340L med firmware 1.01B04. Enheden er en netværksharddisk (NAS), som mange danske mindre virksomheder bruger til fildeling, backup eller som lagerplads for kameraovervågning. Er enheden tilgængelig fra internettet eller fra samme netværk som medarbejdernes computere, er hele filsystemet og eventuelle tilkoblede tjenester i risiko.

En angriber, der allerede har fået fat i en konto med administratorrettigheder til NAS-enheden, kan bruge fejlen til at køre vilkårlige kommandoer på enheden. Det kan bruges til at installere skadelig kode, slette eller kryptere data, læse følsomme filer eller bruge enheden som springbræt videre ind i virksomhedens netværk. Da mange NAS-enheder ligger med backup af virksomhedens data, kan et angreb her ramme både den daglige drift og evnen til at gendanne data efter et angreb.

CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke handling fra en bruger og kan udføres over netværket, men det kræver, at angriberen allerede har høje rettigheder på enheden, for eksempel en administratorkonto. Det gør angrebet mere sandsynligt efter phishing, genbrug af adgangskoder eller en tidligere kompromitteret konto end som et helt uafhængigt førsteangreb. Der er ikke bekræftet aktiv udnyttelse i naturen, men fremgangsmåden er offentliggjort, så den kan bruges af enhver, der har fundet en vej til en administratorkonto.

Da der ikke findes en officiel sikkerhedsopdatering til denne ældre model, handler det om at begrænse angriberens muligheder for at nå enheden og for at få de nødvendige rettigheder.

1. Fjern DNS-340L fra direkte adgang fra internettet. Enheden bør kun kunne tilgås fra virksomhedens interne netværk.
2. Skift alle administrator- og brugeradgangskoder på enheden, og sørg for, at de ikke bruges andre steder.
3. Gennemgå, hvem der har adgang til NAS-administrationen, og fjern konti, som ikke er nødvendige.
4. Kontrollér, om enheden allerede er kompromitteret, ved at gennemse logfiler og se efter uventede filer, brugere eller processer.
5. Undersøg, om DNS-340L kan udskiftes med en model under aktiv support, da D-Link ikke længere leverer sikkerhedsopdateringer til denne serie.
6. Få hjælp udefra, hvis enheden er tilgængelig fra internettet, hvis I ser tegn på kompromittering, eller hvis I er i tvivl om, hvordan I isolerer enheden korrekt.