D-Link DIR-868L: OS-Command-Injection im HNAP-CGI-Handler
Zusammenfassung
Ein nicht authentifizierter Angreifer im Netzwerk kann über die HNAP-Schnittstelle des D-Link DIR-868L Routers mit Firmware 2.01b05 Betriebssystembefehle einschleusen. Der HTTP-Header SOAPACTION wird mit einem Teilzeichenkettenvergleich geprüft, wodurch die Authentifizierung umgangen werden kann. Eingeschleuste Befehle laufen als root, und der Angreifer kann die Ausgabe auslesen. Ein öffentlicher Proof of Concept existiert, und D-Link hat den Support für dieses Modell eingestellt, daher ist keine Korrektur zu erwarten.
Betroffen
- D-Link DIR-868L, Firmware 2.01b05 (laut öffentlichem Advisory Hardware-Revision B1)
- Andere Firmware-Versionen und Hardware-Revisionen: Unbekannt.
Behoben in
Unbekannt. D-Link hat das Lebensende der DIR-868L-Produktfamilie angekündigt, und es ist kein Patch zu erwarten.
Umgehung
- Kein vom Hersteller freigegebener Workaround bekannt.
- Port-Weiterleitungen und Fernverwaltung entfernen, die die Web-Oberfläche des Routers aus dem Internet erreichbar machen.
- Router hinter einer Firewall betreiben oder von sensiblen Systemen isolieren.
Ausnutzung
- Öffentlicher Proof of Concept verfügbar (CISA SSVC: Exploitation poc, automatisierbar ja, technische Auswirkung total).
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- DIR-868L so rasch wie möglich durch ein unterstütztes Gerät ersetzen.
- Bis zum Ersatz jeglichen Internetzugriff auf die Verwaltungs- und Web-Oberfläche des Routers blockieren und Port-Weiterleitungen prüfen.
- Router in einem separaten Netzwerksegment isolieren und auf unerwartete ausgehende Verbindungen oder Konfigurationsänderungen überwachen.
- Den CISA-KEV-Katalog auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Security advisory (GitHub, Walnut1337) github.com
- Proof of concept repository (GitHub) github.com
- VulDB entry VDB-419825 vuldb.com
- VulDB CTI entry VDB-419825 vuldb.com
- D-Link support announcement SAP10397 (end of life) supportannouncement.us.dlink.com
- D-Link support announcement SAP10189 (end of support) supportannouncement.us.dlink.com
- Vulners exploit record E09C6C76 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:45.
Referenzen der NVD (8)
- https://github.com/Walnut1337/Command-Injection-DIR-868L/blob/main/ADVISORY.md
- https://github.com/Walnut1337/Command-Injection-DIR-868L/tree/main/poc
- https://vuldb.com/cve/CVE-2026-110536
- https://vuldb.com/submit/1003692
- https://vuldb.com/submit/1003693
- https://vuldb.com/vuln/419825
- https://vuldb.com/vuln/419825/cti
- https://www.dlink.com/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.