CVE-2026-90680: Kritisk fejl i D-Link DIR-823G
En kritisk fejl i D-Link DIR-823G (CVE-2026-90680) kan give angribere fuld kontrol over routeren. Afskærm styring og opdatér nu.
Hvad er det?
En sårbarhed i D-Link DIR-823G-routere med firmware 1.0.2B05_20181207 gør det muligt at overskrive routerens hukommelse via funktionen strcpy, der kopierer tekst uden at tjekke længden. Fejlen findes i styringsgrænsefladen HNAP1, som bruges til fjernstyring af routeren, konkret i funktionen SetStaticRouteSettings. Ved at sende en for lang værdi i felterne PAddress, SubnetMask eller Gateway kan en angriber skrive uden for den afsatte plads i hukommelsen, et såkaldt stack-baseret bufferoverløb, og potentielt køre egen kode på enheden.
Hvem rammer det?
Sårbarheden rammer D-Link DIR-823G-routere med firmwareversion 1.0.2B05_20181207. Det gælder virksomheder og hjemmekontorer, der bruger denne routermodel som internetadgang, særligt hvis styringsgrænsefladen HNAP1 er tilgængelig fra internettet eller fra et internt netværk, som mange medarbejdere har adgang til.
Hvad kan ske?
En angriber, der har eller skaffer sig lavtstillede loginoplysninger til routeren, kan sende en forberedt forespørgsel og få routeren til at køre vilkårlig kode. I praksis betyder det, at angriberen kan overtage routeren fuldstændigt, omdirigere eller aflytte trafik, ændre DNS-indstillinger for at lede medarbejdere til falske hjemmesider og bruge routeren som adgang videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder, en almindelig brugerkonto på routeren, ikke administrator, og ingen handling fra en bruger, og kan udføres over netværket. Der er ikke oplyst om aktiv udnyttelse af sårbarheden på offentliggørelsestidspunktet, men den lave adgangsbarriere og den fulde konsekvens for fortrolighed, integritet og tilgængelighed gør den til en høj risiko.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, mens I venter på en løsning.
- Tjek om D-Link har udsendt en firmwareopdatering til DIR-823G, der retter fejlen, og installer den, hvis den findes.
- Er der ingen opdatering tilgængelig, så deaktivér fjernstyring af routeren og begræns adgang til styringsgrænsefladen HNAP1 til et betroet internt netværk.
- Skift standardadgangskoder og brug en unik, stærk adgangskode til routerens administratorkonto.
- Placér routeren bag en firewall eller segmentér netværket, så en kompromitteret router ikke giver direkte adgang til resten af virksomhedens systemer.
- Overvej at udskifte routeren, hvis modellen ikke længere understøttes af D-Link, og der derfor ikke kommer flere sikkerhedsopdateringer.
- Er I i tvivl om, hvordan I afskærmer styringsgrænsefladen eller vurderer, om I er ramt, så få hjælp fra en ekstern it-sikkerhedsrådgiver.
Afskærm styring inden for 48 timer
Vi anbefaler, at I straks tjekker, om jeres virksomhed bruger en D-Link DIR-823G-router, og om styringsgrænsefladen HNAP1 er tilgængelig udefra. Er den det, bør I lukke adgangen med det samme, uanset om en opdatering findes. Er routeren kun tilgængelig fra et stramt afgrænset internt netværk, kan I vente til en planlagt opdatering, men bør stadig skifte adgangskoder nu.
Tidslinje
Konkrete eksempler
Router med fjernstyring aktiveret hos en mindre virksomhed
En dansk virksomhed bruger en D-Link DIR-823G som internetrouter og har aktiveret fjernstyring for at kunne administrere den udefra. En angriber, der har skaffet sig et lavtstillet login, sender en forberedt forespørgsel til styringsgrænsefladen og overtager routeren. Herfra omdirigerer angriberen trafik og får fodfæste i virksomhedens interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte routermodel?
Log ind på routerens administrationsside og se modelnummer og firmwareversion under systeminformation, eller tjek mærkatet på routerens underside.
Kan vi vente til weekenden med at rette det?
Nej. Fordi angrebet kan ske over netværket uden brugerhandling og kun kræver lave rettigheder, bør I afskærme styringsgrænsefladen samme dag, I opdager, at I er ramt.
Er der en officiel opdatering fra D-Link?
Der er ikke oplyst om en opdatering på offentliggørelsestidspunktet. Tjek D-Links supportside for DIR-823G jævnligt for nye firmwareudgivelser.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at sårbarheden er blevet udnyttet, og at persondata er kompromitteret. Så skal I vurdere anmeldepligt efter databeskyttelsesforordningen inden for 72 timer.
Er sårbarheden udnyttet i praksis?
Der er ikke oplyst om kendte angreb, der udnytter denne konkrete sårbarhed, på offentliggørelsestidspunktet.
Kan vi bare slukke for fjernstyring i stedet for at opdatere?
Ja, det er en god midlertidig løsning, der fjerner den primære angrebsvej, men I bør stadig opdatere firmwaren, så snart det er muligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in D-Link DIR-823G 1.0.2B05_20181207. The impacted element is the function strcpy of the file /HNAP1/SetStaticRouteSettings of the component HNAP1. The manipulation of the argument PAddress/SubnetMask/Gateway results in stack-based buffer overflow. The attack can be launched remotely.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.