Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in NAS-apparaten van D-Link die end-of-life zijn, zo meldt The Shadowserver Foundation. Omdat de apparaten niet meer worden ondersteund is er ook geen beveiligingsupdate voor het probleem beschikbaar. D-Link kwam op 8 november met een beveiligingsbulletin waarin het voor een kritieke kwetsbaarheid waarschuwde, aangeduid als CVE-2024-10914.

Het beveiligingslek betreft command injection. Een aanvaller kan door het versturen van een speciaal geprepareerd HTTP GET request naar het apparaat willekeurige commando's uitvoeren. Op deze manier is het mogelijk om controle over het NAS-systeem te krijgen. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.2. Een groot aantal modellen NAS-apparaten is end-of-life en zal dan ook geen beveiligingsupdate ontvangen.

In totaal noemt D-Link twintig modellen, waaronder de DNS-320, DNS-320LW, DNS-325 en DNS-340L. De apparaten worden al jaren niet meer ondersteund en D-Link adviseert eigenaren dan ook om de apparaten te vervangen. The Shadowserver Foundation, een stichting die zich met de bestrijding van cybercrime bezighoudt, liet gisterenavond weten dat het sinds 12 november misbruik van CVE-2024-10914 heeft waargenomen. In totaal ziet de stichting zo'n elfhonderd kwetsbare NAS-apparaten die vanaf het internet benaderbaar zijn, waaronder negen in België en zes in Nederland.