Rejestrator monitoringu D-Link DNR-322L wykonuje polecenia z podmienionego pliku kopii ustawień. Urządzenie nie ma wsparcia od 2021 roku, a CISA potwierdza ataki. Odetnij je od internetu i zaplanuj wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, w których monitoring nagrywa rejestrator sieciowy D-Link DNR-322L, zwykle kupiony wiele lat temu. Werdykt: dla tego urządzenia nie będzie poprawki, więc odetnij je dziś od internetu i zaplanuj wymianę, bo CISA potwierdza wykorzystanie tej luki w atakach.
Amerykańska agencja CISA 5 sierpnia 2025 roku dopisała do katalogu KEV podatność CVE-2022-40799 w rejestratorze monitoringu D-Link DNR-322L. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach.
Błąd siedzi w funkcji kopii zapasowej konfiguracji. Rejestrator przyjmuje plik z ustawieniami i wykonuje jego zawartość, nie sprawdzając, czy plik nie został podmieniony. Zalogowany napastnik może w ten sposób uruchomić na urządzeniu dowolne polecenia systemu operacyjnego. Publicznie dostępny jest gotowy kod wykorzystujący lukę.
Najważniejsze: producent zakończył wsparcie dla tego modelu 30 listopada 2021 roku, rok przed publikacją opisu błędu. Poprawka nie powstała i nie powstanie. CISA wskazuje, że użytkownicy powinni przestać używać produktu. Termin wyznaczony agencjom federalnym minął 26 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2022-40799 |
Data dodania do CISA KEV | 2025-08-05 |
Termin naprawy wg CISA | 2025-08-26 (21 dni od wpisu) |
Produkt | D-Link DNR-322L, sieciowy rejestrator wideo (NVR) do kamer monitoringu |
Wersje zagrożone | Oprogramowanie 2.60B15 i wcześniejsze, czyli w praktyce wszystkie egzemplarze. Atak wymaga zalogowania do urządzenia |
Wersje bezpieczne | Brak. Urządzenie jest po zakończeniu wsparcia (od 30 listopada 2021 roku), producent nie wydał i nie wyda poprawki. Jedyne rozwiązanie to wycofanie i wymiana |
Typ podatności | Pobranie i wykonanie kodu bez kontroli integralności w funkcji „Backup Config”; CWE-494 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA zgodnie). Atak przez sieć, wymaga niskich uprawnień (zalogowanego konta), bez udziału użytkownika |
Wyobraź sobie pracownika, który wraca z urlopu i dostaje od zastępcy kopertę z instrukcjami: jak ustawić drukarkę, kogo dopisać do listy mailowej, jakie hasła zmienić. Wykonuje wszystko po kolei, bo tak wygląda procedura. Koperta nie ma jednak pieczęci ani podpisu, więc każdy, kto miał do niej dostęp, mógł dopisać jedną linijkę więcej, na przykład „wyślij klucze do magazynu na ten adres”. Wykonawca nie odróżni jej od reszty.
Tak działał ten błąd. Rejestrator pozwala zapisać ustawienia do pliku i wgrać je z powrotem po awarii. Przy wgrywaniu nie sprawdza, czy plik pochodzi od niego i czy nie został zmieniony. Traktuje jego zawartość jak instrukcje do wykonania. Wystarczy dopisać do pliku polecenie systemowe, a urządzenie je wykona, co daje napastnikowi praktycznie pełną kontrolę nad rejestratorem i nagraniami.
💡 NVR (sieciowy rejestrator wideo) to urządzenie, które zbiera i zapisuje obraz z kamer IP. Kontrola integralności to sprawdzenie, że plik nie został zmieniony, np. przez podpis cyfrowy. EoL / koniec wsparcia oznacza, że producent nie wydaje już poprawek bezpieczeństwa. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wgranie pliku z ustawieniami | Urządzenie przywraca konfigurację | Urządzenie wykonuje też dopisane polecenia |
Osoba z hasłem do rejestratora | Może oglądać nagrania i zmieniać ustawienia | Może przejąć cały system urządzenia |
Hasło fabryczne lub znane instalatorowi | Ryzyko podglądu | Droga do pełnego przejęcia |
Poprawka od producenta | Zamyka lukę | Nie istnieje i nie powstanie |
Nagrania z kamer | Dostępne tylko dla firmy | Mogą wyciec, zostać usunięte lub podmienione |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga zalogowania, ale w małych firmach hasło do rejestratora bywa fabryczne lub znane wielu osobom, a urządzenie często jest wystawione do internetu dla podglądu z telefonu. CISA ocenia, że ataku nie da się w pełni zautomatyzować, ale jego skutek techniczny jest całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie rejestratorów D-Link dostępnych z internetu | Lista urządzeń |
2. Logowanie | T+minuty | Próba haseł fabrycznych, prostych lub wykradzionych | Dostęp do panelu rejestratora |
3. Podmiana ustawień | T+kilkanaście minut | Pobranie kopii konfiguracji, dopisanie polecenia i wgranie pliku (publiczny kod ataku) | Wykonanie poleceń na urządzeniu |
4. Utrwalenie | T+godziny | Instalacja własnego oprogramowania, np. do sieci botów | Stała kontrola nad rejestratorem |
5. Wykorzystanie danych | T+dni | Pobieranie archiwum nagrań, podgląd na żywo, usuwanie zapisów | Wyciek wizerunków i wiedzy o firmie |
6. Dalszy atak | T+tygodnie | Ataki na inne urządzenia w tej samej sieci lub DDoS na cudze serwery | Szersze włamanie, łącze firmy na czarnych listach |
Mogę Ci jakoś pomóc?
Nagrania z monitoringu to dane osobowe, w placówkach medycznych nawet dane wrażliwe. Firma zwykle nie wie, ile miesięcy nagrań trzyma rejestrator, więc w razie wycieku nie potrafi odpowiedzieć, ilu osób dotyczy naruszenie. Do tego urządzenie nie dostanie już żadnej poprawki, więc ryzyko z czasem tylko rośnie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak nagrań w krytycznym momencie, wyłączony monitoring, pilna wymiana sprzętu | Godziny do dni | 5 tys. do 40 tys. PLN (nowy rejestrator, montaż) |
Bezpieczeństwo danych | Wyciek archiwum nagrań z wizerunkami klientów i pracowników | Od chwili przejęcia | 10 tys. do 100 tys. PLN (analiza, obsługa incydentu) |
Finansowy | Brak dowodów przy kradzieży, odmowa lub obniżenie wypłaty ubezpieczenia | Tygodnie | 10 tys. do 300 tys. PLN (zależnie od strat) |
Reputacyjny | Nagrania z firmy w internecie, utrata zaufania klientów i pracowników | Tygodnie do miesięcy | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); dalsze używanie sprzętu bez wsparcia utrudnia wykazanie należytej staranności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z rejestratorem D-Link DNR-322L
dostępnym z internetu, ze słabym lub znanym hasłem
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad urządzeniem i archiwum nagrań), a prawdopodobieństwo średnie, bo atak wymaga zalogowania i nie jest w pełni automatyczny; rośnie jednak do wysokiego przy haśle fabrycznym i dostępie z internetu, a brak poprawki oznacza, że z czasem nie spada.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy w firmie działa rejestrator D-Link DNR-322L (także w oddziałach) | Dziś | Administrator IT / instalator monitoringu |
2 | 🔴 NATYCHMIAST | Odciąć rejestrator od dostępu z internetu (przekierowania portów, dostęp chmurowy) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zmienić hasło do rejestratora na unikalne, nieznane osobom spoza obecnego zespołu | Dziś | Administrator IT |
4 | 🟠 PILNIE | Zabezpieczyć potrzebne nagrania i zaplanować wymianę na wspierany rejestrator | Do 7 dni | Kierownik IT / CFO |
5 | 🟠 PILNIE | Przenieść pliki kopii konfiguracji w bezpieczne miejsce i usunąć je ze skrzynek i pulpitów | Do 7 dni | Administrator IT |
6 | 🟠 PILNIE | Wymienić rejestrator i odłączyć stary od sieci | Do 30 dni | Instalator monitoringu |
7 | 🟡 WAŻNIE | Spisać wszystkie urządzenia sieciowe inne niż komputery (kamery, drukarki, alarmy) z datą końca wsparcia | Do 30 dni | CTO |
Tu aktualizacja nie jest i nie będzie dostępna, bo producent zakończył wsparcie modelu w 2021 roku. CISA wskazuje zaprzestanie używania produktu. Poniższe środki pozwalają bezpieczniej przeczekać kilka tygodni do wymiany. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana na wspierany rejestrator (docelowe rozwiązanie) | Wysoka | Średnia: wymaga zakupu i montażu |
Odcięcie rejestratora od internetu, dostęp tylko z sieci wewnętrznej | Wysoka wobec ataków z zewnątrz | Łatwa |
Zmiana hasła na silne i unikalne | Średnia: atak wymaga zalogowania | Łatwa |
Osobny segment sieci dla monitoringu | Średnia: ogranicza skutki przejęcia | Średnia |
Podgląd z telefonu tylko przez VPN | Wysoka | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Rejestrator | Model bez wsparcia, z publicznym kodem ataku | Wspierany model z aktualizacjami |
Dostęp z internetu | Otwarty dla podglądu z telefonu | Tylko przez VPN |
Hasło | Fabryczne lub znane instalatorowi i byłym pracownikom | Unikalne, znane tylko obecnym osobom |
Pliki kopii konfiguracji | W skrzynkach i na pulpitach | W zabezpieczonym miejscu |
Zgodność z wymogami | Zaległość wobec terminu CISA z 26 sierpnia 2025 roku | Sprzęt wycofany i udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | TAK, jedyne odniesienie techniczne w rejestrach prowadzi do publicznego repozytorium z kodem ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA), skutek techniczny całkowity |
Status wsparcia | Koniec wsparcia 30 listopada 2021 roku; w listopadzie 2025 roku producent wymienił DNR-322L wśród sprzętu do wycofania w związku z siecią botów, ale nie powiązał z nią tej konkretnej luki |
Prognoza EPSS | Około 32%, wyżej niż 98% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2022-40799
CVSS 3.1 (NVD/CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~32% ██████░░░░░░░░░░░░░░ WYSOKA pozycja
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ gotowy kod
Poprawka producenta BRAK ████████████████████ urządzenie bez wsparcia
Mogę Ci jakoś pomóc?
2021-11-30 D-Link kończy wsparcie dla DNR-322L
2022-11-29 Publikacja CVE-2022-40799, brak poprawki
2025-08-05 CISA dodaje lukę do katalogu KEV
2025-08-26 Termin wg CISA dla agencji federalnych
2025-11 D-Link wymienia DNR-322L wśród sprzętu do wycofania
... ponad 12 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Strona produktu u producenta (CISA odsyła tylko tam, bo poprawki nie ma): dlink.com, DNR-322L . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2022-40799 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy w firmie lub oddziałach pracuje rejestrator DNR-322L | CTO | DZISIAJ |
2 | Zlecić odcięcie rejestratora od internetu i zmianę hasła | CTO | DZISIAJ |
3 | Zlecić zabezpieczenie nagrań, które firma musi zachować | CTO | DO JUTRA |
4 | Zatwierdzić zakup i montaż wspieranego rejestratora | CFO | DO JUTRA |
5 | Sprawdzić z inspektorem ochrony danych okres przechowywania nagrań i ryzyko ich wycieku | CFO | DO JUTRA |
6 | Sprawdzić, czy polisa ubezpieczeniowa wymaga działającego monitoringu | CFO | DO JUTRA |
7 | Zlecić spis urządzeń sieciowych z datami końca wsparcia | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy rejestratora D-Link DNR-322L? | TAK / NIE | 🔴 |
2 | Czy rejestrator jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio zmieniono hasło do rejestratora i kto je zna? | [data] | 🔴 |
4 | Ile miesięcy nagrań przechowuje rejestrator? | [liczba] | 🟠 |
5 | Gdzie są przechowywane pliki kopii konfiguracji urządzeń sieciowych? | [miejsce] | 🟠 |
6 | Kiedy planujemy wymianę rejestratora? | [data] | 🟠 |
7 | Ile urządzeń sieciowych w firmie jest już po zakończeniu wsparcia producenta? | [liczba] | 🟡 |
CVE-2022-40799 pozwala zalogowanemu napastnikowi wykonać polecenia na rejestratorze D-Link DNR-322L przez podmieniony plik kopii ustawień, a publiczny kod ataku jest dostępny. Urządzenie straciło wsparcie w 2021 roku i nie dostanie poprawki, a CISA potwierdza ataki, więc odcięcie od internetu, zmiana hasła i zaplanowanie wymiany to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.