So war der Angriff möglich

Geprüft hat der Hersteller die Systeme: DI-304, DI-524, DI-604, DI-624, DI-724GU, DI-804HV, DIR-100, DIR-300, DIR-301, DIR-320, DIR-600, DIR-615, DIR-685, DIR-825, DSL-2543B, DSL-2641B, DSL-2740B, DSL-2741B, DVA-G3342SD, DVA-G3342SB. Nicht betroffene sind ebenfalls hier aufgeführte ältere Router-Modelle. Auch andere Produktkategorien wie Switches, NAS oder Printserver fallen nicht darunter.

Die Angriffe waren durch eine fehlerhafte Implementierung des Protokolls HNAP (Home-Network-Administration-Protocol) möglich. Angreifer umgehen dabei die Passwortabfrage beim Absetzen eines HNAP-Befehls.

Der »Quick Router Setup Wizard« verwendet HNAP, um D-Link-Router zu konfigurieren. Die Software liegt auf einer CD bei. HNAP basiert auf SOAP. Allerdings akzeptieren die Komponenten auch ohne Wizard jeden passenden SOAP-Befehl.

Eigentlich enthält das HNAP-Protokoll eine Sicherheitsabfrage, wenn es einen Befehl entgegen nimmt. Leider fehlt bei dem DIR-628 und dem DIR-655 für den Befehl »GetDeviceSettings« diese Passwort-Abfrage. Dies lässt sich ausnutzen, um den Router auch andere Befehle zu schicken, ohne ein Passwort zu kennen. Eine genauere Beschreibung des Angriffs findet sich auf Networkcomputing.de.