CVE-2026-101077: Kritisk fejl i Netcore NR289-GE router
Netcore NR289-GE routere kan fjernstyres uden login via CVE-2026-101077. Ingen opdatering findes; fjern enheden fra internettet i dag.
Hvad er det?
CVE-2026-101077 er en sårbarhed i Netcore NR289-GE med firmwareversion 1.4.5102. Fejlen sidder i funktionen process_request i komponenten boa_temp Handler, en del af den lette webserver Boa, som mange netværksenheder bruger til deres administrationsside. Funktionen mangler et kontrol af, om brugeren er logget ind, før den udfører kommandoer. Det betyder, at en angriber kan sende forespørgsler direkte til enheden og få adgang til administrative funktioner uden at kende et brugernavn eller kodeord. Sårbarheden kan udnyttes over netværket, og kode der viser, hvordan angrebet udføres, er offentligt tilgængelig.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger routeren eller gatewayen Netcore NR289-GE med firmware 1.4.5102. Det gælder især enheder, hvis administrationsside er tilgængelig fra internettet eller fra et gæstenetværk uden yderligere afskærmning. Netcore-udstyr sælges typisk som billigt netværksudstyr og bruges ofte i mindre kontorer, filialer eller hos leverandører af IoT-løsninger.
Hvad kan ske?
En angriber, der finder enheden på nettet, kan overtage den fuldt ud uden at logge ind. Det giver mulighed for at ændre netværksindstillinger, omdirigere trafik, aflæse data der passerer enheden, og bruge den som indgang til resten af netværket. For en dansk virksomhed kan det betyde, at kundedata eller interne systemer bliver eksponeret via en enhed, ingen havde regnet med var en risiko.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ikke login, ingen handling fra en bruger, og kan udføres over netværket med lav kompleksitet. Kode, der demonstrerer angrebet, er offentligt udgivet, men det er ikke bekræftet, at sårbarheden bliver udnyttet i stor skala. Kombinationen af fuld fjernstyring uden login og offentlig udnyttelseskode gør sårbarheden til en af de mest alvorlige, en netværksenhed kan have.
Hvad gør jeg nu?
Der findes ingen opdatering fra Netcore, så første skridt er at begrænse adgangen til enheden.
- Fjern enhedens administrationsgrænseflade fra internettet, og gør den kun tilgængelig fra et afgrænset internt netværk.
- Undersøg, om I har en Netcore NR289-GE med firmware 1.4.5102 i drift, og notér, hvor den sidder i netværket.
- Kontakt Netcore for at høre, om en opdateret firmware er på vej, producenten har ikke svaret på tidligere forespørgsler om sårbarheden.
- Overvej at udskifte enheden med udstyr fra en leverandør, der løbende leverer sikkerhedsopdateringer.
- Gennemgå logs for usædvanlig trafik til enhedens administrationsside.
- Få hjælp udefra, hvis I ikke selv kan vurdere, om enheden er eksponeret eller allerede kompromitteret.
Isolér enheden i dag
Vi anbefaler, at I nu fjerner enhedens administrationsside fra internettet og planlægger udskiftning, da Netcore ikke har svaret på sårbarheden, og ingen opdatering er i sigte. Det er kun i orden at vente, hvis enheden allerede er fuldt afskærmet fra internettet og fra ukendte enheder på det interne netværk. Er I i tvivl om eksponeringen, bør I få den vurderet, inden I beslutter jer for at vente.
Tidslinje
Konkrete eksempler
Filialkontor med ubeskyttet router
En dansk virksomhed med flere mindre filialer bruger Netcore NR289-GE routere til at give personalet netadgang. En af enhederne har sin administrationsside tilgængelig direkte fra internettet, fordi den er sat op af en tidligere leverandør uden yderligere afskærmning. En angriber finder enheden, overtager den uden login, og bruger den som indgang til at aflæse trafik fra filialens netværk, herunder adgang til virksomhedens interne systemer.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-101077?
I er ramt, hvis I har en Netcore NR289-GE i drift med firmwareversion 1.4.5102, og enheden kan nås fra internettet eller fra et netværk, andre uden for jeres kontrol har adgang til.
Hvordan tjekker vi, om vores router er sårbar?
Log ind på enhedens administrationsside, og se firmwareversionen under systeminfo eller enhedsoplysninger. Står der 1.4.5102, er enheden sårbar. Tjek også, om administrationssiden kan nås udefra ved at forsøge tilgang fra en anden internetforbindelse.
Kan vi vente til der kommer en opdatering fra Netcore?
Det kan I ikke regne med lige nu. Producenten er kontaktet om sårbarheden, men har ikke reageret. Vi anbefaler derfor at behandle sagen som om der ikke kommer en opdatering, og planlægge udskiftning eller afskærmning i stedet.
Skal vi anmelde sårbarheden til myndighederne?
Kun hvis I finder tegn på, at enheden er blevet misbrugt, og at personoplysninger dermed kan være kompromitteret. I så fald skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler om databrud.
Kan vi bare blokere porten i stedet for at udskifte enheden?
At blokere adgang til administrationssiden fra internettet lukker den mest akutte vej ind og bør gøres straks. Men enheden vil fortsat mangle en grundlæggende sikkerhedskontrol, så det er en midlertidig løsning, ikke en permanent en.
Hvad er boa_temp Handler egentlig?
Det er en del af Boa, en lille webserver som mange billige netværksenheder bruger til deres administrationsside. process_request er funktionen, der behandler indkommende forespørgsler, og det er her fejlen mangler at kontrollere login.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in Netcore NR289-GE 1.4.5102. This impacts the function process_request of the component boa_temp Handler. This manipulation causes missing authentication. The attack is possible to be carried out remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.