Błąd w routerze D-Link DIR-859 pozwala bez hasła pobrać dane sesji i przejąć urządzenie. CISA potwierdza ataki, a producent nie wyda poprawki. Wyłącz zarządzanie z internetu i wymień router.
Ten alert jest dla zarządu, CTO i CFO małych firm, biur i gabinetów, w których internet dostarcza router D-Link DIR-859. Werdykt: ten model nie dostaje już żadnych poprawek, a luka jest wykorzystywana w atakach, więc wyłącz dziś dostęp do panelu routera z internetu i zaplanuj wymianę urządzenia w ciągu kilku dni.
Amerykańska agencja CISA 25 czerwca 2025 roku dopisała podatność CVE-2024-0769 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w routerze D-Link DIR-859 pozwala jednym spreparowanym żądaniem, bez logowania, pobrać plik konfiguracyjny spoza dozwolonego katalogu. Według CISA wyciekają w ten sposób dane sesji, co może pozwolić na przejęcie kontroli nad urządzeniem.
Poprawki nie będzie. Producent, powiadomiony przed publikacją, od razu potwierdził, że model osiągnął koniec cyklu życia, i zalecił wycofanie i wymianę. CISA pisze wprost, że wszystkie rewizje sprzętowe DIR-859 powinny zostać wycofane. Termin CISA minął 16 lipca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-0769 |
Data dodania do CISA KEV | 2025-06-25 |
Termin naprawy wg CISA | 2025-07-16 (21 dni od wpisu) |
Produkt | Router D-Link DIR-859, skrypt /hedwig.cgi obsługujący żądania HTTP POST |
Wersje zagrożone | Oprogramowanie 1.06B01 wskazane w rekordzie; CISA: wszystkie rewizje sprzętowe modelu są po końcu życia lub serwisu |
Wersje bezpieczne | Brak. Producent nie wyda poprawki, jedynym rozwiązaniem jest wymiana routera na wspierany model |
Typ podatności | Przejście po ścieżce katalogów (path traversal); CWE-22 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, wysoki wpływ na poufność, integralność i dostępność). VulDB (zgłaszający): 5.3 (CVSS 3.1, ŚREDNIA, niski wpływ tylko na poufność). Obie: atak przez sieć, bez logowania, bez udziału użytkownika |
Różnica 4,5 punktu wynika tylko z oceny skutków: VulDB widzi wyciek pliku, NVD widzi drogę od wycieku danych sesji do pełnego przejęcia routera. Warunki ataku są w obu ocenach identyczne.
Wyobraź sobie recepcjonistę, który ma wydawać teczki wyłącznie z regału za swoimi plecami. Ktoś prosi o teczkę o nazwie „dwa piętra wyżej, sekretariat, szafa z umowami”. Recepcjonista zamiast odmówić idzie i przynosi. W routerze rolę recepcjonisty pełni skrypt panelu, a „nazwą teczki” jest parametr, w który napastnik wpisuje polecenia cofnięcia o kilka katalogów w górę.
Wyciągnięty plik zawiera dane sesji, czyli dowód, że administrator już się zalogował. Kto ma ten dowód, nie potrzebuje hasła, bo router uzna go za zalogowanego administratora. A router to urządzenie, przez które przechodzi cały ruch firmy do internetu.
💡 Path traversal (przejście po ścieżce katalogów) to błąd, w którym program pozwala sięgnąć po pliki spoza dozwolonego katalogu. Sesja to zapamiętany dowód zalogowania, dzięki któremu nie trzeba wpisywać hasła przy każdym kliknięciu. DNS to „książka telefoniczna internetu”, zamieniająca nazwy stron na adresy. Koniec cyklu życia (EOL) oznacza, że producent nie wydaje już żadnych poprawek. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownicy korzystają z internetu | Router przekazuje ruch | Tak samo, nic nie widać |
Obca osoba wysyła żądanie do panelu | Panel wymaga logowania | Panel oddaje plik z danymi sesji |
Hasło administratora routera | Chroni ustawienia | Nie jest potrzebne, wystarczy przechwycona sesja |
Ustawienia DNS | Prawdziwe adresy stron | Mogą zostać podmienione na fałszywe |
Aktualizacja oprogramowania | Usuwa znane błędy | Nie istnieje, model bez wsparcia |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby panel routera był osiągalny dla napastnika, najczęściej z internetu przez włączone zarządzanie zdalne. Opis ataku z gotowym ładunkiem jest publiczny. CISA ocenia wykorzystanie jako aktywne i dające pełne przejęcie, ale nie w pełni automatyzowalne.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie routerów DIR-859 z dostępnym panelem | Lista celów |
2. Wyciek danych | T+kilka minut | Żądanie POST do /hedwig.cgi z parametrem cofającym po katalogach | Plik konfiguracyjny z danymi sesji |
3. Przejęcie panelu | T+kilkanaście minut | Użycie danych sesji zamiast hasła | Dostęp administratora do routera |
4. Zmiana ustawień | T+kilkanaście minut | Podmiana serwerów DNS, przekierowania portów, nowe konta | Ruch firmy pod kontrolą napastnika |
5. Wykorzystanie | T+dni do tygodni | Fałszywe strony logowania, podsłuch, wejście do sieci lokalnej | Kradzież haseł i danych, oszustwa przy przelewach |
Mogę Ci jakoś pomóc?
Router to brama, przez którą przechodzi cały ruch firmy. Przejęty router nie powoduje awarii, więc nikt niczego nie zauważa, dopóki nie dojdzie do oszustwa lub wycieku. Brak poprawek oznacza, że ryzyko nie zniknie, dopóki urządzenie działa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przekierowany lub podsłuchiwany ruch, konieczność pilnej wymiany routera i sprawdzenia komputerów | Dni | 2 tys. do 20 tys. PLN (nowy sprzęt, konfiguracja, przestój) |
Bezpieczeństwo danych | Kradzież haseł przez fałszywe strony, dostęp do sieci lokalnej | Dni do tygodni | 10 tys. do 80 tys. PLN (analiza, wymiana haseł) |
Finansowy | Oszustwa przy przelewach, podszywanie się pod systemy płatności | Tygodnie | 10 tys. do 200 tys. PLN (utracone środki, obsługa incydentu) |
Reputacyjny | Wyciek danych klientów lub pacjentów | Miesiące | 10 tys. do 150 tys. PLN (utraceni klienci) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 5 tys. do 50 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z routerem D-Link DIR-859
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE (panel dostępny z internetu)
3 | . . . . .
2 | . . ○ . . ← ○ panel dostępny tylko z sieci lokalnej
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy panelu dostępnym z internetu ryzyko jest wysokie, bo luka jest publicznie opisana, wykorzystywana, a EPSS wynosi ok. 83%; po wyłączeniu zarządzania zdalnego spada, ale nie znika, bo poprawki nie będzie i każdy kolejny błąd tego modelu też pozostanie otwarty.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić model routera na naklejce na spodzie obudowy | Dziś | Kierownik biura / dostawca IT |
2 | 🔴 NATYCHMIAST | Jeśli to DIR-859: wyłączyć zarządzanie routerem z internetu (zdalny dostęp do panelu) | Dziś | Dostawca IT |
3 | 🔴 NATYCHMIAST | Sprawdzić w panelu ustawienia DNS i przekierowania portów, porównać z dokumentacją lub ustawieniami operatora | Dziś | Dostawca IT |
4 | 🟠 PILNIE | Kupić i zainstalować wspierany router z deklarowanym okresem aktualizacji | Do 7 dni | Właściciel / dostawca IT |
5 | 🟠 PILNIE | Po wymianie zmienić hasło do Wi-Fi i hasła do systemów używanych w firmie, jeśli ustawienia routera były zmienione | Do 7 dni | Dostawca IT |
6 | 🟡 WAŻNIE | Sprawdzić, czy w firmie działają inne urządzenia sieciowe po końcu wsparcia | Do 30 dni | Dostawca IT |
7 | 🟡 WAŻNIE | Zdalny dostęp do sieci firmy realizować przez VPN, a nie przez panel routera | Do 30 dni | Dostawca IT |
W tym przypadku aktualizacji nie ma i nie będzie: producent i CISA zalecają wycofanie urządzenia. Poniższe miary tylko zmniejszają ryzyko do dnia wymiany; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie zarządzania routerem z internetu | Wysoka wobec ataków z zewnątrz | Łatwa |
Zmiana hasła administratora i wylogowanie wszystkich sesji | Niska: dane sesji mogą wyciec ponownie | Łatwa |
Ustawienie DNS na komputerach ręcznie, niezależnie od routera | Średnia wobec podmiany DNS | Średnia |
Wymiana routera na wspierany model | Wysoka: jedyne trwałe rozwiązanie | Średnia, koszt sprzętu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Router | DIR-859 bez wsparcia | Wspierany model z aktualizacjami |
Panel zarządzania | Dostępny z internetu | Tylko z sieci lokalnej |
Ustawienia DNS i przekierowań | Niesprawdzone | Zweryfikowane |
Zdalny dostęp do firmy | Przez panel routera | Przez VPN |
Zakupy sprzętu | Kryterium: cena | Kryterium: cena i okres aktualizacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, skutek całkowity, atak nie w pełni automatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 5.3 ŚREDNIA wg VulDB (CVSS 3.1) |
PoC dostępny publicznie? | TAK, opis ataku z gotowym ładunkiem jest publiczny (według rekordu CVE) |
Liczba atakowanych firm | Brak publicznych informacji |
Wsparcie producenta | Brak: model po końcu cyklu życia, zalecana wymiana (biuletyn D-Link SAP10371) |
Prognoza EPSS | 0,82714 (ok. 83%) na 24 sierpnia 2026, percentyl 0,99642, stabilnie od miesiąca |
Spór o punkty (5.3 czy 9.8) jest mniej ważny niż dwa fakty: urządzenie stoi na styku z internetem i nigdy nie dostanie poprawki.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-0769
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (VulDB) 5.3/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~83% █████████████████░░░ BARDZO WYSOKA
Poprawka producenta BRAK ████████████████████ tylko wymiana
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-01-21 Publikacja CVE-2024-0769, producent potwierdza koniec życia modelu
2025-06-25 CISA dodaje lukę do katalogu KEV (17 miesięcy po publikacji)
2025-07-16 Termin wycofania wg CISA dla agencji federalnych
2026-08-24 EPSS 0,82714, percentyl 0,99642
... ponad rok od terminu CISA, poprawki nie będzie
2026-09-17: TUTAJ JESTEŚMY Komunikat D-Link o końcu wsparcia: supportannouncement.us.dlink.com: SAP10371 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-0769 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić model routera we wszystkich lokalizacjach firmy | CTO / kierownik biura | DZISIAJ |
2 | Zlecić wyłączenie zarządzania routerem z internetu | CTO | DZISIAJ |
3 | Zlecić sprawdzenie ustawień DNS i przekierowań portów | CTO | DZISIAJ |
4 | Zatwierdzić zakup wspieranego routera | CFO | DO JUTRA |
5 | Zlecić listę pozostałych urządzeń sieciowych z datą końca wsparcia | CTO | DO JUTRA |
6 | Wprowadzić wymóg deklarowanego okresu aktualizacji przy zakupie sprzętu | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model routera działa w każdej naszej lokalizacji? | [model] | 🔴 |
2 | Czy panel routera jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy ustawienia DNS w routerze są zgodne z dokumentacją lub ustawieniami operatora? | TAK / NIE | 🔴 |
4 | Czy w routerze są przekierowania portów, których nikt nie potrafi wyjaśnić? | TAK / NIE | 🟠 |
5 | Kiedy router zostanie wymieniony na wspierany model? | [data] | 🟠 |
6 | Jakie inne urządzenia sieciowe w firmie są po końcu wsparcia producenta? | [lista] | 🟡 |
7 | Jak pracownicy łączą się z siecią firmy spoza biura? | [sposób] | 🟡 |
CVE-2024-0769 w routerze D-Link DIR-859 pozwala bez hasła wyciągnąć dane sesji i przejąć urządzenie, przez które przechodzi cały ruch firmy. Luka jest wykorzystywana, a producent nie wyda poprawki, więc wyłączenie zarządzania z internetu to zadanie na dziś, a wymiana routera na wspierany model na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.