Twee beveiligingslekken in routers van fabrikant D-Link maken het mogelijk voor een aanvaller om op afstand het beheerderswachtwoord van het apparaat te achterhalen en een update is nog niet beschikbaar. De eerste kwetsbaarheid bevindt zich in de remote inlogpagina van het apparaat.

Normaliter moet er een wachtwoord worden ingevoerd om toegang tot de beheerderpagina's te krijgen. Het blijkt echter mogelijk te zijn om de authenticatie te omzeilen en deze pagina's zonder geldige login op te vragen. Het gaat onder andere om de pagina tools_admin.asp, waar de tweede kwetsbaarheid zich bevindt. Deze pagina bevat namelijk het beheerderswachtwoord.

De problemen zijn in de D-Link DIR-130 en DIR-330 bevestigd, maar het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit stelt dat mogelijk ook andere modellen kwetsbaar zijn, maar dit niet door de onderzoeker die het probleem rapporteerde is getest. Als oplossing wordt aangeraden om alleen verbindingen van vertrouwde hosts en netwerken toe te staan. Aanvullend kan beheer op afstand (remote administration) worden uitgeschakeld.

Vorige week werd er ook al een kwetsbaarheid in de DIR-850L-router gerapporteerd waardoor een aanvaller, in het geval remote administration staat ingeschakeld, op afstand willekeurige code met rootrechten kan uitvoeren. Voor dit probleem heeft D-Link een "beta" update uitgebracht. Volgens het CERT/CC is het echter onduidelijk of deze testversie als een fatsoenlijke oplossing kan worden gezien.