D-Link DGS-3130: Lücken im Discovery-Protokoll, Firmware fehlt noch

D-Link hat am 6. November 2026 eine vorläufige Sicherheitsmeldung zum Managed Switch DGS-3130-30TS veröffentlicht. Ein Sicherheitsforscher hat mehrere Lücken im D-Link Discovery Protocol (DDP) und in der Firmware gemeldet, eine korrigierte Firmware gibt es noch nicht. Einen Termin dafür nennt D-Link nicht, stattdessen sollen Betreiber sofort DDP abschalten und den Zugriff auf die Verwaltung einschränken.

Nachgewiesen hat der Forscher die Lücken bisher nur am DGS-3130-30TS in Hardware-Revision B1, D-Link prüft die Befunde noch. Ob andere Modelle der DGS-3130-Reihe oder weitere D-Link-Switches betroffen sind, untersucht der Hersteller noch. Von Angriffen berichtet D-Link nichts. Weil es noch keinen Termin für einen Patch gibt, sollten Admins die Gegenmaßnahmen trotzdem zeitnah umsetzen.

Was ist passiert?

D-Link erhielt die koordinierte Meldung am 2. November 2026 von Giresh Kumar Enugu, Netzwerkingenieur bei Spectrum Community Solutions. Die Funde betreffen Authentifizierung, Zugriffskontrolle und Datenverarbeitung im DDP sowie Sicherheitsmechanismen der Firmware: die SSH-Konfiguration, den Schutz der Zugangsdaten des Betriebssystems und die Verschlüsselung der Firmware samt eingebettetem Schlüsselmaterial. Der Forscher hat die Ausnutzung laut D-Link in kontrollierten Tests gezeigt. CVE-Nummern sind beantragt oder reserviert, aber noch nicht veröffentlicht.

Wer ist betroffen?

Untersucht wurden beim DGS-3130-30TS B1 die Firmware-Versionen 2.00.B014, 2.00.B034, 2.04.000 und 2.04.001. D-Link weist darauf hin, dass einzelne Funde nur für einen Teil dieser Versionen gelten können. Für andere DGS-3130-Modelle und andere Switch-Plattformen ist die Auswirkung nicht bestätigt, die Untersuchung allein bedeutet laut D-Link nicht, dass sie verwundbar sind.

Wie kritisch ist das?

Ein Angreifer braucht Zugang zum Netz, in dem der Switch hängt, ein Angriff aus dem Internet ist ohne offene Verwaltungsdienste nicht beschrieben. Im lokalen Netz sind die Folgen aber erheblich: Als mögliche Folgen nennt D-Link nach Angaben des Forschers unberechtigten Zugriff auf DDP-Verwaltungsfunktionen, das Auslesen von Geräte- und Netzwerkkonfiguration, das Ändern von Administrator-Zugangsdaten, Resets und Ausfälle bis zum Verlust der Konfiguration sowie das Auslesen von SNMP-Communitys. Wer einen Core- oder Etagen-Switch übernimmt, kann Netzsegmente umbauen oder lahmlegen. D-Link warnt zudem, dass sich Betreiber zur Abwehr der DDP-Lücken nicht allein auf die Zugriffseinstellungen der Verwaltung oder eine VLAN-Trennung verlassen sollen.

Was sollten Admins jetzt tun?

• Inventar: alle DGS-3130 mit Modell, Hardware-Revision laut Typenschild und Firmware-Version erfassen.
• DDP abschalten, global und auf den Ports, mit dem Befehl no ddp im globalen und im Interface-Konfigurationsmodus. Mit show ddp prüfen, Konfiguration speichern und nach einem Neustart kontrollieren. Laut D-Link kann das Erkennungs- und Verwaltungsabläufe stören, die auf DDP aufbauen.
• SNMP aufräumen: die Communitys public und private entfernen, wo SNMP gebraucht wird, SNMPv3 mit Authentifizierung und Verschlüsselung nutzen und nur bestimmte Hosts zulassen.
• Verwaltung einschränken: SSH, Weboberfläche und SNMP nur von festgelegten Management-Systemen und Admin-Rechnern erreichbar machen, idealerweise aus einem eigenen Management-Netz, nichts davon ins Internet freigeben, nicht benötigte Dienste abschalten.
• Überwachen: Konfigurationen sichern, unerwartete Neustarts, Konfigurationsänderungen, abgeschaltete Ports und Werksresets in Logs und Monitoring prüfen.
• Die Meldung SAP10523 beobachten, D-Link will dort CVE-Nummern und die korrigierte Firmware nachtragen.

Einordnung für Unternehmen

Die DGS-3130-Reihe richtet sich laut BleepingComputer vor allem an kleine und mittlere Unternehmen und Metro-Ethernet-Netze. In kleineren Umgebungen fehlt nach unserer Erfahrung oft ein getrenntes Management-Netz. Dass D-Link vor einem Patch warnt und konkrete Abhilfen nennt, ist für Admins hilfreich. Wer DDP nicht für Erkennung oder Verwaltung nutzt, dürfte durch das Abschalten wenig verlieren. Die Firmware-Funde zu SSH, Zugangsdaten und Schlüsselmaterial behebt das Abschalten von DDP laut D-Link nicht, dafür braucht es ein Update. Bis dahin ist das Abschalten von DDP laut D-Link die wichtigste Maßnahme, die Einschränkung der Verwaltung ergänzt sie.

Passende Anleitungen auf S-EDV

• VLANs verstehen und auf einem Managed Switch einrichten
• LibreNMS mit Docker Compose: SNMP-Netzwerk-Monitoring für KMU selbst hosten
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi

Quellen

• D-Link: Sicherheitsmeldung SAP10523
• BleepingComputer: Bericht zu den DGS-3130-Lücken