CVE-2026-96891: Kritisk fejl i D-Link DIR-825 router
Kritisk sårbarhed i D-Link DIR-825 routere gør det muligt at overtage enheden uden login. Udskift eller isolér routeren.
Hvad er det?
CVE-2026-96891 er en fejl i D-Link DIR-825 routere med firmwareversion 3.00b32. Fejlen sidder i funktionen tunnel_set_params i filen tunnel.c, som er en del af komponenten rp-l2tp. L2TP er en protokol, der bruges til at opbygge tunneler, for eksempel til VPN-forbindelser. Når routeren modtager parameteren peer_hostname, kan indholdet skrives uden for det hukommelsesområde, der er afsat til det. Det kaldes en out-of-bounds write, en type fejl hvor et program skriver data uden for sin tildelte hukommelse. En sådan fejl kan bruges til at få routeren til at køre kode, angriberen selv har valgt.
Hvem rammer det?
Sårbarheden rammer D-Link DIR-825 routere med firmware 3.00b32. Det er typisk mindre virksomheder, filialer og private husstande, der bruger denne model som internetrouter eller VPN-gateway. Kommuner og virksomheder med ældre netværksudstyr i mindre afdelinger eller hjemmearbejdspladser bør også tjekke, om modellen er i brug.
Hvad kan ske?
En angriber, der kan sende netværkstrafik til routerens L2TP-funktion, kan udnytte fejlen til at få fuld kontrol over enheden uden at kende brugernavn eller adgangskode. Herfra kan angriberen aflytte og omdirigere trafik, bruge routeren som springbræt ind i det interne netværk eller inddrage den i et botnet, der angriber andre systemer. For en dansk virksomhed betyder det risiko for datatab, afbrudt internetforbindelse og et kompromitteret netværk uden at nogen har klikket på noget.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller brugerhandling, og det kan udføres over netværket med lav kompleksitet. Det betyder, at enhver med adgang til routerens netværksinterface kan forsøge angrebet. Der er kendskab til proof of concept-kode, altså offentliggjort eksempelkode, der viser hvordan fejlen udnyttes, hvilket øger risikoen for hurtig udnyttelse.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse skaden:
- Undersøg om jeres netværk bruger en D-Link DIR-825 med firmware 3.00b32. Tjek administrationsgrænsefladen eller mærkaten på enheden.
- Tjek D-Links supportside for en opdateret firmwareversion til DIR-825. Er der ingen opdatering, er enheden formentlig udgået af support.
- Er der ingen opdatering, skal L2TP-funktionen deaktiveres, hvis det er muligt, eller routeren tages ud af drift og erstattes med en understøttet model.
- Segmentér netværket, så routeren ikke har direkte adgang til kritiske systemer, mens I planlægger udskiftning.
- Gennemgå routerens logfiler for usædvanlig trafik på L2TP-porte, der kan tyde på forsøg på udnyttelse.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere netværksopsætningen eller finde en erstatning hurtigt.
Udskift eller isolér routeren snarest
Vi anbefaler, at I straks kortlægger, om D-Link DIR-825 med firmware 3.00b32 findes i jeres netværk, og at I tager enheden ud af drift, hvis der ikke findes en opdateret firmware. Det er ikke forsvarligt at vente, da angrebet kræver hverken login eller brugerhandling. Er routeren allerede isoleret bag en anden firewall uden adgang til L2TP udefra, kan udskiftningen planlægges over kortere tid, men vi fraråder at lade enheden stå eksponeret mod internettet.
Tidslinje
Konkrete eksempler
Filial med forældet VPN-router
En dansk virksomhed bruger en D-Link DIR-825 som VPN-gateway i en mindre filial, hvor den opretter en L2TP-tunnel til hovedkontoret. En angriber sender en manipuleret peer_hostname-værdi til routerens L2TP-tjeneste og udløser fejlen i tunnel_set_params. Angriberen får kørt egen kode på routeren og bruger den som indgang til filialens interne netværk, hvorfra filer og adgangskoder kan tilgås.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Log ind på routerens administrationsside, eller tjek mærkaten på undersiden af enheden. Modelnavnet DIR-825 og firmwareversion 3.00b32 skal fremgå der. I kan også spørge jeres netværksleverandør, hvis udstyret er sat op af en tredjepart.
Kan vi vente til weekenden med at gøre noget?
Nej. Fejlen kan udnyttes uden login og uden brugerhandling, og der findes offentliggjort eksempelkode. Vi anbefaler at isolere eller udskifte routeren, så snart det er praktisk muligt, ikke at vente til en fast serviceuge.
Findes der en opdatering, der løser problemet?
Der er ikke oplyst en officiel firmwareopdatering fra D-Link for DIR-825, der retter denne fejl. Modellen er ældre, og det er sandsynligt, at den ikke længere modtager sikkerhedsopdateringer. Tjek altid D-Links supportside for den nyeste status.
Er vi ramt, hvis vi ikke bruger L2TP eller VPN på routeren?
Risikoen er lavere, men fejlen ligger i en funktion, der stadig kan være tilgængelig, selvom I ikke aktivt bruger L2TP. Vi anbefaler at deaktivere funktionen helt, hvis den ikke bruges, og under alle omstændigheder planlægge udskiftning af routeren.
Skal vi anmelde det, hvis routeren har været eksponeret?
Har I mistanke om, at routeren faktisk er blevet kompromitteret, og der er sket adgang til persondata eller forretningskritiske systemer, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt kontakte Datatilsynet. Er der kun tale om en teoretisk risiko uden tegn på indbrud, er der ikke anmeldelsespligt, men vi anbefaler stadig at handle på fejlen.
Kan vi bare sætte routeren bag en firewall i stedet for at udskifte den?
Det kan reducere risikoen midlertidigt, hvis firewallen effektivt blokerer al uautoriseret adgang til L2TP-tjenesten. Det er dog en midlertidig løsning, da enheden fortsat er sårbar internt, og vi anbefaler udskiftning på lidt længere sigt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was identified in D-Link DIR-825 3.00b32. Affected is the function tunnel_set_params of the file tunnel.c of the component rp-l2tp. The manipulation of the argument peer_hostname leads to out-of-bounds write. The attack may be initiated remotely.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.