CVE-2026-101038: Kritisk fejl i router FAST FAC1200R
Kritisk fejl i routeren FAST FAC1200R kan udnyttes over netværket. Producenten har ikke reageret, og der findes ingen opdatering.
Hvad er det?
Sårbarheden findes i funktionen MmtAtePrase, som er en del af routerens indbyggede parser, et program der læser og fortolker indkommende data. Fejlen er en stack-based buffer overflow, hvor for meget data skrives til en fast afsat hukommelsesplads, så en angriber kan overskrive programkode og få routeren til at køre kommandoer, den ikke er bedt om af ejeren. Kode, der viser hvordan sårbarheden udnyttes, er allerede offentliggjort, hvilket gør det væsentligt lettere for andre at genskabe angrebet.
Hvem rammer det?
Sårbarheden rammer routeren FAST FAC1200R med firmwareversion 5.0_20201119_1.0.2. Modellen bruges typisk som trådløs router i mindre kontorer, filialer og private hjem. Er I i tvivl om, hvilken model og firmwareversion I kører, kan det ses i routerens administrationspanel under systemoplysninger.
Hvad kan ske?
En angriber, der kan nå routeren over netværket, kan udnytte fejlen til at få fuld kontrol over enheden. Herfra kan angriberen aflytte og omdirigere al trafik, der går gennem routeren, ændre DNS-indstillinger så medarbejdere ledes til falske hjemmesider, eller bruge routeren som indgang videre ind i virksomhedens netværk. For en dansk virksomhed betyder det i praksis, at internetforbindelsen og alt, hvad der går gennem den, ikke længere kan betragtes som tillidsfuldt.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at en bruger klikker på noget eller foretager sig noget, og angriberen behøver kun lave rettigheder for at udføre det. Angrebsvektoren er netværk, så det kan i mange tilfælde udføres uden fysisk adgang til enheden. Der er offentliggjort kode, der demonstrerer angrebet, men det er ikke bekræftet, at det aktivt bliver udnyttet i skarpe angreb på det oplyste tidspunkt.
Hvad gør jeg nu?
Da producenten ikke har reageret og der ikke findes en opdatering, skal I handle med fokus på at begrænse eksponering af enheden.
- Undersøg om I har FAST FAC1200R-routere i drift, og hvor de er placeret i netværket.
- Sluk for fjernadministration og fjernadgang til routerens administrationspanel, så den kun kan tilgås fra det lokale netværk.
- Placér routeren bag en anden firewall eller router, så den ikke er direkte tilgængelig fra internettet.
- Planlæg udskiftning af routeren med en model fra en producent, der løbende leverer sikkerhedsopdateringer.
- Overvåg netværkstrafik for usædvanlig aktivitet fra routerens IP-adresse.
- Kontakt os, hvis I er i tvivl om, hvordan enheden er eksponeret, eller hvis I har brug for hjælp til at segmentere netværket korrekt.
Udskift eller isolér enheden snarest
Vi anbefaler, at I straks fjerner fjernadgang til routerens administrationspanel og placerer den bag en ekstra firewall, indtil den kan udskiftes. Da producenten ikke har reageret på henvendelser om sårbarheden, bør I ikke regne med en fremtidig opdatering, og udskiftning bør indgå i jeres plan snarest muligt. Det er ikke forsvarligt at vente, hvis routeren er tilgængelig direkte fra internettet.
Tidslinje
Konkrete eksempler
Filial med uovervåget router
En mindre dansk virksomhed har en filial, hvor en FAST FAC1200R-router styrer internetadgangen. Routeren er sat op med fjernadgang aktiveret for nem support, men ingen har opdateret eller kontrolleret enheden siden installationen. En angriber udnytter sårbarheden til at overtage routeren og omdirigere filialens trafik gennem en server, angriberen selv kontrollerer, uden at nogen medarbejder bemærker det.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Log ind på routerens administrationsside og se model- og firmwareoplysninger, typisk under systemstatus. Modellen hedder FAST FAC1200R, og den ramte firmwareversion er 5.0_20201119_1.0.2.
Kan vi vente til weekenden med at gøre noget?
Nej. Der er offentliggjort kode, der viser hvordan sårbarheden udnyttes, og den kræver ingen brugerhandling. Vi anbefaler at lukke fjernadgang og isolere enheden med det samme.
Findes der en opdatering fra producenten?
Nej. Producenten er blevet kontaktet forud for offentliggørelsen, men har ikke reageret. Der er derfor ingen udmeldt tidsplan for en rettelse.
Skal vi anmelde hændelsen, hvis vi opdager misbrug?
Hvis I konstaterer, at routeren er kompromitteret og persondata eller kritiske systemer er berørt, kan det udløse pligt til at anmelde til Datatilsynet. Kontakt os, så vi kan hjælpe med vurderingen.
Er en almindelig firewall nok til at beskytte os?
En firewall foran routeren kan begrænse eksponering udefra, men løser ikke det underliggende problem i routerens software. Den mest holdbare løsning er at udskifte enheden.
Kan vi bare genstarte routeren for at fjerne truslen?
En genstart fjerner ikke selve sårbarheden i softwaren. Er routeren allerede kompromitteret, kan en genstart midlertidigt fjerne en angribers adgang, men den kan udnyttes igen med det samme.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in FAST FAC1200R 5.0_20201119_1.0.2. Affected by this vulnerability is the function MmtAtePrase of the component MmtAtePrase Parser. This manipulation causes stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.