CVE-2026-90703: Kritisk fejl i D-Link DWR-M921
Kritisk fejl i D-Link-routeren DWR-M921 gør det muligt for en logget-på angriber at køre systemkommandoer. Begræns admin-adgang nu.
Hvad er det?
Sårbarheden CVE-2026-90703 findes i D-Link-routeren DWR-M921 med firmwareversion 1.1.52. Fejlen sidder i funktionen system i filen formDiskCreateShare, som bruges til at opsætte diskdeling på routeren. Parametren folderpath bliver ikke renset for specialtegn, før den sendes videre til routerens kommandolinje. Det gør det muligt at indsætte og køre egne systemkommandoer på enheden, en teknik der kaldes OS command injection. Angrebet kan udføres over netværket, men kræver at angriberen allerede er logget på routerens administrationsside med høje rettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger D-Link DWR-M921 med firmware 1.1.52 som internetrouter, for eksempel som primær forbindelse eller mobil backup i mindre kontorer, filialer eller på byggepladser. NVD-data indeholder ikke en rettet firmwareversion, så alle enheder med denne version må antages sårbare.
Hvad kan ske?
Har en angriber allerede admin-adgang til routerens webinterface, kan de udnytte fejlen til at køre vilkårlige kommandoer med systemets rettigheder. I praksis betyder det, at angriberen kan overtage routeren fuldstændigt, læse og ændre netværkstrafik, installere skadelig software på enheden eller bruge routeren som indgang til resten af virksomhedens netværk.
Hvor alvorligt er det?
CVSS-score er 9,1 af 10, kritisk. Angrebet kræver ikke, at en bruger klikker på noget (UI:N), og kan udføres over netværket (AV:N) med lav kompleksitet (AC:L). Til gengæld kræver det, at angriberen allerede har høje privilegier, altså er logget ind som administrator på routeren (PR:H). Konsekvensen ved et gennemført angreb er høj for fortrolighed, integritet og tilgængelighed. Der findes offentligt tilgængelig kode, der demonstrerer angrebet, men der er ikke rapporteret om udnyttelse i aktive angreb på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Da der ikke foreligger en rettet firmwareversion fra D-Link på tidspunktet for offentliggørelsen, handler det først og fremmest om at begrænse, hvem der kan logge ind på routerens administrationsside.
- Luk adgangen til routerens admin-panel fra internettet, og tillad kun administration fra et betroet, internt netværk.
- Skift alle administratoradgangskoder til routeren, og fjern eventuelle standardkonti.
- Undersøg om D-Link har udgivet en nyere firmwareversion end 1.1.52, og opdatér så snart den findes.
- Gennemgå routerens logs for diskdelinger eller kommandoer, I ikke selv har oprettet.
- Overvej at udskifte enheden, hvis D-Link ikke længere udgiver sikkerhedsopdateringer til DWR-M921.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere routerens konfiguration eller finde tegn på misbrug.
Begræns admin-adgang til routeren i dag
Vi anbefaler, at I begrænser adgangen til routerens administrationsside til et internt, betroet netværk og skifter alle adgangskoder. Det er den handling, der lukker hullet, uanset om D-Link når at udsende en rettet firmware. Det er kun i orden at vente, hvis routerens admin-interface allerede er fuldstændig afskærmet fra internettet og kun tilgængeligt for et fåtal betroede medarbejdere.
Tidslinje
Konkrete eksempler
Kompromitteret admin-konto på filialrouter
En mindre dansk detailkæde bruger D-Link DWR-M921 som backup-internetforbindelse i sine filialer. En tidligere it-medarbejders admin-adgangskode til routeren er aldrig blevet skiftet. En angriber, der får fat i adgangskoden gennem et lækket password fra en anden tjeneste, logger ind på routerens webinterface og udnytter fejlen i formDiskCreateShare til at køre kommandoer, der giver fuld kontrol over enheden og adgang til det bagvedliggende netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I bruger en D-Link DWR-M921 med firmwareversion 1.1.52. Log ind på routerens administrationsside og tjek firmwareversionen under systemoplysninger.
Kan vi vente til weekenden med at reagere?
Det afhænger af, om routerens admin-panel er tilgængeligt fra internettet. Er det, bør I begrænse adgangen samme dag. Er admin-panelet allerede kun tilgængeligt internt, og har I kontrol over, hvem der har admin-rettigheder, kan det vente kortvarigt.
Er sårbarheden udnyttet i aktive angreb?
Der er ikke rapporteret om aktive angreb på tidspunktet for offentliggørelsen, men koden til at udnytte fejlen er offentligt tilgængelig, hvilket gør et fremtidigt angreb mere sandsynligt.
Kræver angrebet, at en medarbejder klikker på noget?
Nej, der kræves ingen brugerhandling. Angrebet forudsætter dog, at angriberen allerede har admin-login til routerens webinterface, for eksempel via en kompromitteret eller svag adgangskode.
Skal vi anmelde dette til myndighederne?
Kun hvis en udnyttelse fører til en konstateret sikkerhedsbrist med persondata, jf. GDPR. Konstaterer I uautoriseret adgang eller datatab, skal det vurderes og eventuelt anmeldes til Datatilsynet inden for 72 timer.
Hvordan tjekker vi, om routeren allerede er udnyttet?
Gennemgå routerens logs for uventede diskdelinger, ukendte admin-logins eller ændringer i netværkskonfigurationen. Se også efter usædvanlig udgående trafik fra routeren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in D-Link DWR-M921 1.1.52. The affected element is the function system of the file /boafrm/formDiskCreateShare. Such manipulation of the argument folderpath leads to os command injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.