CVE-2026-85224: Kommandoinjektion i D-Link DNS-320 NAS

CVE-2026-85224 er en sårbarhed i D-Link DNS-320 ShareCenter, en netværksharddisk (NAS) der bruges til fildeling og backup i mindre virksomheder. Fejlen findes i filen /cgi/file_sharing.cgi, hvor parameteren fileurl ikke bliver renset korrekt, før den bruges i en systemkommando. Det betyder, at en bruger med administratoradgang kan indsætte egne kommandoer, som enhedens styresystem udfører direkte, en teknik der kaldes kommandoinjektion. Angrebet kan udføres over netværket uden yderligere brugerinteraktion, og en metode til at udnytte fejlen er allerede offentliggjort.

Sårbarheden rammer D-Link DNS-320 ShareCenter med firmwareversion 2.06B01. Enheden bruges ofte som billig netværksdrevet lagerløsning til fildeling og backup i mindre danske virksomheder, foreninger og kommunale afdelinger. Den findes typisk på interne netværk, men bliver også nogle steder gjort tilgængelig udefra via portforwarding, så medarbejdere kan tilgå filer hjemmefra.

En angriber, der allerede har eller opnår administratoradgang til enhedens webgrænseflade, for eksempel via en fabriksadgangskode eller en lækket login-oplysning, kan bruge fejlen til at køre vilkårlige kommandoer på NAS-enhedens styresystem. Det giver fuld kontrol over enheden og de data, den indeholder. I praksis kan angriberen læse, slette eller kryptere backupfiler og forretningsdokumenter, og enheden kan bruges som adgangspunkt videre ind i det interne netværk.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket med lav teknisk kompleksitet, men det forudsætter, at angriberen allerede har høje privilegier, typisk administratoradgang til enhedens webgrænseflade. Da mange NAS-enheder stadig kører med fabriksadgangskoder eller genbrugte adgangskoder, er den forudsætning ofte nemmere at opfylde, end den lyder. En metode til at udnytte fejlen er allerede offentliggjort, men der er ikke oplysninger om, at den er set brugt i angreb endnu.

Der findes ikke en oplyst officiel opdatering til denne ældre model, så I skal reducere angrebsfladen selv.

1. Fjern enhedens administrationsside fra direkte internetadgang, sluk portforwarding og fjernadgang udefra.
2. Skift adgangskoden til administratorkontoen til en lang, unik adgangskode, og fjern eventuelle gamle brugerkonti.
3. Undersøg om D-Link har udgivet en opdatering til DNS-320 med firmware 2.06B01, og installer den, hvis den findes.
4. Placér enheden på et separat netværk eller VLAN, isoleret fra øvrige systemer og medarbejdercomputere.
5. Planlæg udskiftning af enheden, da DNS-320-serien er ældre og kan være udgået af sikkerhedssupport.
6. Kontakt Auroa eller en anden sikkerhedspartner, hvis I er i tvivl om, hvordan enheden er eksponeret, eller ønsker hjælp til segmentering og udskiftning.