D-Link DCS-930L: Fehlende Signaturprüfung bei Firmware-Update im Bootloader
Zusammenfassung
Der Emergency HTTP Recovery Server im Bootloader der Netzwerkkamera D-Link DCS-930L, Firmware B1.08B4, akzeptiert Firmware-Images ohne jede kryptografische Signaturprüfung. Der Validator prüft nur einen uImage-Magic-Wert und die Header-Felder, sodass ein manipuliertes Image mit gültigem Header in die Kernel-Partition geschrieben und beim nächsten Start ausgeführt wird. Der Recovery-Modus wird aktiviert, indem die Reset-Taste beim Einschalten gehalten wird, und die Quellen widersprechen sich, wie einfach der Server über das Netzwerk erreichbar ist. Das Produkt ist End-of-Life und es steht kein Fix zur Verfügung.
Betroffen
- D-Link DCS-930L, Firmware B1.08B4 (Firmware 1.08)
- Andere Revisionen: Unbekannt.
Behoben in
Unbekannt. Es wurde kein Fix und keine Sicherheitsmitteilung von D-Link zu dieser CVE gefunden. Das Produkt ist End-of-Life.
Umgehung
- Die Kamera in einem dedizierten VLAN isolieren und den Zugriff auf vertrauenswürdige Management- oder interne Subnetze beschränken.
- Die Kamera nicht aus dem Internet erreichbar machen und Portweiterleitungen oder Cloud-Relay-Zugriffe prüfen.
- Den Zugriff auf TCP-Port 80 des Geräts aus nicht vertrauenswürdigen Netzen sperren.
Ausnutzung
- Ein öffentlicher GitHub-Beitrag beschreibt den Angriff. Die technischen Details wurden nicht unabhängig reproduziert.
- ThehackerWire meldet keinen öffentlichen PoC; dies widerspricht dem GitHub-Beitrag.
- Die CISA-SSVC-Bewertung lautet Exploitation: PoC, nicht automatisierbar.
- Laut den Quellen ist keine Ausnutzung in freier Wildbahn bekannt; die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Die DCS-930L ersetzen, wie von D-Link für End-of-Life-Produkte empfohlen.
- Falls das Gerät weiter betrieben werden muss, in einem dedizierten VLAN isolieren und jeden eingehenden Zugriff aus nicht vertrauenswürdigen Netzen sperren.
- Prüfen, ob die Kamera aus dem Internet oder aus Gast-Netzen erreichbar ist, und diese Exposition entfernen.
- Gerät und Netzwerkverkehr auf unerwartete HTTP-POST-Anfragen an die Kamera auf TCP-Port 80 überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub write-up: D-Link DCS-930L Bootloader Emergency Room firmware flash github.com
- VulDB entry CVE-2026-108971 vuldb.com
- D-Link end-of-life notice SAP10247 supportannouncement.us.dlink.com
- D-Link DCS-930L product page www.dlink.com
- ThehackerWire: CVE-2026-108971 www.thehackerwire.com
- Strix CVE record CVE-2026-108971 www.strix.ai
- HOL Guard CVE record CVE-2026-108971 hol.org
- Positive Technologies PT-2026-114748 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.