CVE-2026-101187: Kritisk fejl i Ziroom ZHOME A0101
Kritisk kommandoinjektion i Ziroom ZHOME A0101 (CVE-2026-101187) kan give angriber med adminadgang fuld kontrol. Ingen opdatering findes, isolér enheden fra netværket.
Hvad er det?
CVE-2026-101187 er en sårbarhed i Ziroom ZHOME A0101, en smart home-styreenhed (hub) der bruges til at administrere blandt andet USB-tilsluttet udstyr. Fejlen findes i funktionen pop_usb_device i filen zrUsb.lua, som er en del af enhedens API til USB-enhedsstyring. Ved kommandoinjektion, hvor et program uden tilstrækkelig kontrol sender brugerens inddata videre til systemets kommandolinje, kan en angriber manipulere argumentet path og få enheden til at udføre egne systemkommandoer. Angrebet kan udføres over netværket og kræver ingen handling fra en bruger, men det forudsætter, at angriberen allerede har opnået administratorrettigheder på enheden.
Hvem rammer det?
Sårbarheden rammer Ziroom ZHOME A0101 med firmwareversion 1.0.1.0. Enheden bruges typisk som smart home-styring i udlejningsboliger, mindre erhvervslejemål og facility management, hvor USB-tilsluttet udstyr som lagerenheder, sensorer eller adgangskontrol administreres via enhedens webgrænseflade. Danske virksomheder, der udlejer eller administrerer boliger og har genbrugt eller importeret denne enhed, bør undersøge om den er i brug hos dem.
Hvad kan ske?
Hvis en angriber allerede har fået administratoradgang, for eksempel via en svag eller genbrugt adgangskode, kan sårbarheden bruges til at opnå fuld kontrol over enheden og køre vilkårlige kommandoer med høje rettigheder. Det kan betyde, at enheden bruges som adgangspunkt ind i det interne netværk, at data fra tilsluttede USB-enheder kompromitteres, eller at enheden overtages og indgår i et botnet, der bruges til yderligere angreb mod andre.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket med lav kompleksitet og kræver ingen handling fra en bruger, men det forudsætter høje rettigheder (administratoradgang) på forhånd. Lykkes angrebet, er konsekvensen fuld kompromittering af fortrolighed, integritet og tilgængelighed. Fungerende exploit-kode er offentligt tilgængelig, og leverandøren har ikke reageret på henvendelser om sårbarheden.
Hvad gør jeg nu?
Da leverandøren ikke har udsendt en rettelse, skal I selv begrænse risikoen:
- Fjern enhedens webgrænseflade fra offentligt tilgængelige netværk, og placér den bag en firewall eller kræv VPN-adgang, så kun betroede administratorer kan tilgå den.
- Skift alle administratoradgangskoder til enheden, og undgå standardadgangskoder eller adgangskoder, der bruges andre steder.
- Segmentér enheden i et separat netværkssegment, isoleret fra kritiske systemer og øvrigt udstyr.
- Overvåg enhedens logfiler for uventede kommandoer eller adgang fra ukendte IP-adresser.
- Overvej at udskifte enheden permanent, hvis den er forretningskritisk, da leverandøren ikke har vist vilje til at rette fejlen.
- Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvordan enheden er eksponeret i jeres netværk, eller hvis I har brug for hjælp til segmentering.
Ingen opdatering, isolér netværk nu
Vi anbefaler, at I kortlægger om Ziroom ZHOME A0101 er i brug i jeres netværk, og at I isolerer enheden fra internettet og fra kritiske systemer, da der ikke findes en officiel rettelse. Det er ikke forsvarligt at vente, da exploit-kode allerede er offentligt tilgængelig. Er enheden ikke forretningskritisk, bør I overveje at udskifte den permanent i stedet for at leve med risikoen.
Tidslinje
Konkrete eksempler
Ejendomsadministration med smart home-hub
Et dansk ejendomsadministrationsfirma bruger Ziroom ZHOME A0101 til at styre USB-tilsluttet adgangsudstyr i en række udlejningsboliger. En tidligere lejer har fortsat adminlogin til enheden og udnytter kommandoinjektionen til at få fuld kontrol over hubben. Herfra får angriberen adgang til det interne administrationsnetværk og kan læse data om øvrige lejere.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har en Ziroom ZHOME A0101 med firmwareversion 1.0.1.0 i drift, typisk i forbindelse med udlejningsboliger eller facility management. Tjek enhedens administrationspanel for model og firmwareversion.
Hvordan tjekker vi, om enheden er tilgængelig fra internettet?
Scan jeres offentlige IP-adresser for åbne porte, der peger mod enhedens webgrænseflade, eller bed jeres netværksudbyder om at bekræfte, at enheden ikke er direkte eksponeret. Hvis enheden svarer på forespørgsler udefra, bør adgangen begrænses omgående.
Kan vi vente med at handle til weekenden?
Vi anbefaler ikke at vente. Exploit-kode er offentligt tilgængelig, og der findes ingen officiel rettelse. Isolér enheden fra netværket så hurtigt som muligt.
Kræver angrebet, at vi allerede er hacket?
Angrebet kræver, at angriberen har administratoradgang til enheden på forhånd. Det kan skyldes svage adgangskoder, standardadgangskoder eller en tidligere kompromittering. Skift adgangskoder og undersøg for tegn på uautoriseret adgang.
Findes der en officiel rettelse fra leverandøren?
Nej. Leverandøren er kontaktet, men har ikke svaret eller udsendt en opdatering. I skal derfor selv afhjælpe risikoen gennem netværksisolering og adgangskontrol.
Skal vi anmelde sårbarheden til myndighederne?
Det er ikke et krav for selve sårbarheden, men hvis I konstaterer tegn på et faktisk angreb eller databrud, kan I være forpligtet til at anmelde det til Datatilsynet efter GDPR-reglerne.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in Ziroom ZHOME A0101 1.0.1.0. This vulnerability affects the function pop_usb_device of the file usr/lib/lua/luci/controller/api/zrUsb.lua of the component USB Device Management API. This manipulation of the argument path causes command injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.