CVE-2026-85223: Kritisk fejl i D-Link DNS-340L NAS
Kritisk sårbarhed i D-Link DNS-340L (CVE-2026-85223) lader angribere køre systemkommandoer via netværket. Offentlig udnyttelseskode findes.
Hvad er det?
CVE-2026-85223 er en sårbarhed i D-Link DNS-340L, et NAS-drev (netværksdisk til fildeling og backup). Fejlen findes i filen /cgi-bin/dropbox.cgi, som er en del af enhedens CGI-håndtering (webgrænseflade til styring af enheden). Ved at manipulere parametrene callback_url eller sync_interval kan en angriber udføre det, der kaldes OS command injection: egne systemkommandoer smugles ind og afvikles direkte på enhedens styresystem. Angrebet kan udføres over netværket, uden at nogen bruger skal klikke på noget.
Hvem rammer det?
Sårbarheden rammer D-Link DNS-340L med firmwareversion 1.01B04. Det er relevant for danske virksomheder, foreninger og mindre organisationer, der bruger denne NAS-enhed til fildeling, backup eller synkronisering af data. Er enheden tilgængelig fra internettet, eller ligger den på et internt netværk uden segmentering, er den udsat.
Hvad kan ske?
En angriber, der udnytter sårbarheden, får mulighed for at køre kommandoer med enhedens egne rettigheder. I praksis betyder det fuld kontrol over NAS-drevet: læsning og ændring af alle filer, sletning af backupdata, installation af skadelig kode eller brug af enheden som springbræt til resten af netværket. For en dansk virksomhed kan det føre til tab af forretningskritiske filer, lækage af kunde- eller medarbejderdata og driftsstop, hvis backuppen på NAS-drevet også bliver ramt.
Hvor alvorligt er det?
CVSS-score er 9,9 af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket med lav kompleksitet. Der kræves dog en lav grad af adgang på forhånd (lave privilegier), for eksempel en lavt privilegeret bruger på enhedens webgrænseflade. Konsekvensen er alvorlig, fortrolighed, integritet og driftsstabilitet påvirkes alle fuldt ud, og fejlen kan sprede sig til andre dele af systemet på grund af ændret scope. Der findes offentlig udnyttelseskode (proof of concept), men det er ikke bekræftet, at sårbarheden aktivt bliver udnyttet i angreb.
Hvad gør jeg nu?
Følg disse skridt, og start med det, der lukker hullet mest effektivt:
- Fjern NAS-drevet fra direkte internetadgang. Deaktiver fjernadgang og port-forwarding til /cgi-bin/dropbox.cgi.
- Undersøg om D-Link har udgivet en firmwareopdatering til DNS-340L, og installer den, hvis den findes.
- Er der ingen opdatering, og enheden er udgået af support, planlæg udskiftning til en NAS-model med aktiv sikkerhedsopdatering.
- Begræns netværksadgang til enheden via firewall, så kun kendte og betroede IP-adresser kan tilgå webgrænsefladen.
- Gennemgå logfiler på enheden for tegn på uautoriseret adgang eller usædvanlig aktivitet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at isolere, opdatere eller udskifte enheden inden for kort tid.
Isolér enheden inden for 24 timer
Vi anbefaler, at I straks fjerner DNS-340L fra internetadgang og undersøger, om D-Link har udgivet en opdatering. Findes der ingen opdatering, bør I planlægge udskiftning af enheden, da den ser ud til at være udgået af aktiv support. Det er kun forsvarligt at vente, hvis enheden allerede er fuldt isoleret fra internettet og fra alle upålidelige interne netværk.
Tidslinje
Konkrete eksempler
NAS-drev tilgængeligt udefra hos en dansk håndværksvirksomhed
En mindre håndværksvirksomhed bruger et D-Link DNS-340L til at gemme fakturaer og kundeaftaler, og enheden er sat op med fjernadgang, så medarbejdere kan tilgå filer hjemmefra. En angriber finder enheden via en scanning af åbne porte, udnytter sårbarheden i dropbox.cgi og får fuld kontrol over drevet. Virksomheden mister adgang til alle regnskabsfiler, og der er ingen separat backup, fordi NAS-drevet også fungerede som backupmål.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte enhed?
Gå ind i enhedens administrationsside eller tjek fysisk mærkat på enheden. Sårbarheden gælder specifikt D-Link DNS-340L med firmwareversion 1.01B04.
Kan vi vente til efter weekenden med at reagere?
Kun hvis enheden allerede er isoleret fra internettet og fra utroværdige interne netværk. Er den tilgængelig udefra, bør I handle samme dag, da der findes offentlig udnyttelseskode.
Findes der en officiel opdatering fra D-Link?
Der er ikke oplyst en opdatering på tidspunktet for offentliggørelsen. Tjek D-Links supportside for firmwareopdateringer til DNS-340L, og overvej udskiftning, hvis produktet ikke længere supporteres.
Er sårbarheden udnyttet i konkrete angreb i Danmark?
Det er ikke oplyst, at sårbarheden aktivt udnyttes. Der findes dog offentligt tilgængelig udnyttelseskode, hvilket øger risikoen for, at den bliver brugt.
Skal vi anmelde en eventuel udnyttelse?
Bliver en enhed kompromitteret, og der er tale om personoplysninger, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver ved tvivl.
Kan vi bare beskytte enheden med en firewall i stedet for at udskifte den?
En firewall, der begrænser adgang til kendte IP-adresser, reducerer risikoen, men fjerner ikke selve fejlen. Er enheden udgået af support, bør den udskiftes på sigt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in D-Link DNS-340L 1.01B04. Affected by this issue is some unknown functionality of the file /cgi-bin/dropbox.cgi of the component CGI Handler. Performing a manipulation of the argument callback_url/sync_interval results in os command injection. The attack can be initiated remotely. The exploit has been made public and could be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.