CVE-2026-101261: Kritisk kommandoinjektion i Ziroom ZHOME A0101
Kritisk kommandoinjektion i Ziroom ZHOME A0101 kan give en angriber med adgang til enheden fuld kontrol. Ingen rettelse fra producenten.
Hvad er det?
Der er fundet en sårbarhed i Ziroom ZHOME A0101, version 1.0.1.0, som er en smart-home-styringsenhed. Fejlen sidder i en funktion, der sætter wifi op via adressen /api/ZRnetwork/firstSetup_wifi. Ved at manipulere feltet login_pwd kan en angriber få enheden til at udføre vilkårlige systemkommandoer, det vil sige kommandoinjektion (CWE-77): input, der egentlig skulle være et password, bliver i stedet tolket som en kommando af enhedens styresystem. Angrebet kræver, at man allerede har en form for privilegeret adgang til enhedens administration, men kan derefter udføres over netværket uden yderligere brugerinteraktion. En fungerende udnyttelseskode er offentliggjort, og producenten har ikke reageret på henvendelser om sårbarheden.
Hvem rammer det?
Sårbarheden rammer virksomheder og private, der bruger Ziroom ZHOME A0101 i version 1.0.1.0 til styring af smart-home-funktioner, typisk wifi-opsætning og netværksadministration. Det er en niche-enhed, der primært kendes fra det kinesiske marked, men den kan forekomme hos danske virksomheder, der har importeret udstyr direkte eller bruger det i udlejningsejendomme, kontorhoteller eller lignende. Er enheden koblet på jeres almindelige netværk uden segmentering, kan konsekvensen række videre end selve enheden.
Hvad kan ske?
En angriber, der får adgang til administrationsgrænsefladen, kan via den sårbare parameter få enheden til at køre egne kommandoer med systemets rettigheder. I praksis betyder det, at enheden kan overtages fuldt ud: konfiguration kan ændres, trafik kan aflyttes, og enheden kan bruges som adgangsvej videre ind i jeres netværk. For en dansk virksomhed med enheden på samme netværk som printere, kameraer eller andet IoT-udstyr kan en overtaget enhed fungere som springbræt til resten af infrastrukturen.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver netværksadgang og høje privilegier på enheden (PR:HIGH), altså at angriberen allerede har en administrativ konto eller session, men kræver ingen handling fra en bruger og har lav teknisk kompleksitet. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning: en vellykket udnyttelse kan give fuld kontrol over enheden. Der findes en offentliggjort udnyttelseskode, så risikoen for reelt misbrug er til stede, selvom sårbarheden endnu ikke er set udnyttet i konkrete angreb.
Hvad gør jeg nu?
Da producenten ikke har svaret på henvendelser, findes der ingen officiel rettelse. Følgende skridt begrænser risikoen mest muligt:
- Fjern enheden fra netværk, den ikke absolut skal være på, og placér den i et separat, isoleret netværkssegment uden adgang til øvrige systemer.
- Skift alle adgangskoder til enhedens administration og undgå standardadgangskoder.
- Bloker ekstern adgang til enhedens administrationsgrænseflade, så den kun kan tilgås fra et betroet internt netværk.
- Overvej at udskifte enheden med et produkt, hvor producenten aktivt vedligeholder sikkerhedsopdateringer.
- Hold øje med producentens hjemmeside og sikkerhedsdatabaser for en fremtidig rettelse.
- Kontakt en sikkerhedsrådgiver, hvis enheden indgår i kritisk infrastruktur, eller hvis I er i tvivl om, hvordan I isolerer den korrekt.
Isolér enheden inden for få dage
Vi anbefaler, at I straks kortlægger, om Ziroom ZHOME A0101 findes på jeres netværk, og at I isolerer den fra kritiske systemer, indtil en officiel rettelse foreligger. Da producenten ikke har reageret, bør I overveje udskiftning af enheden som en mere holdbar løsning end midlertidig afskærmning. Det er ikke forsvarligt at vente med isolering, da en fungerende udnyttelseskode allerede er offentligt tilgængelig.
Tidslinje
Konkrete eksempler
Smart-home-enhed som indgang til kontorets netværk
En dansk udlejer af kontorfællesskaber har installeret Ziroom ZHOME A0101-enheder til styring af wifi i flere lokaler. En angriber, der får administrativ adgang til én enheds konfigurationsside, udnytter kommandoinjektionen til at få fuld kontrol over enheden og bruger den derefter som springbræt til at aflytte trafik fra de øvrige lejere på samme netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er berørt, hvis I har en Ziroom ZHOME A0101 i version 1.0.1.0 tilsluttet jeres netværk. Tjek enhedens administrationsgrænseflade eller mærkat for model og firmwareversion.
Kan vi vente til weekenden med at gøre noget?
Da der findes en offentliggjort udnyttelseskode, og producenten ikke har udsendt en rettelse, bør I isolere enheden fra netværket så hurtigt som muligt frem for at vente til en fast opdateringscyklus.
Findes der en opdatering, vi kan installere?
Nej. Producenten er blevet kontaktet i forbindelse med offentliggørelsen, men har ikke reageret, og der er ingen kendt officiel rettelse.
Hvordan tjekker vi, om enheden er blevet misbrugt?
Se efter uventede ændringer i enhedens konfiguration, ukendte netværksforbindelser fra enheden, eller usædvanlig trafik i jeres netværkslogs. Kontakt en sikkerhedsrådgiver, hvis I finder tegn på kompromittering.
Kræver angrebet, at vi klikker på noget eller logger ind et sted?
Nej, der kræves ingen brugerinteraktion. Angrebet forudsætter dog, at angriberen allerede har en form for privilegeret adgang til enhedens administration.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at enheden faktisk er blevet udnyttet, og persondata eller kritiske systemer er berørt. I så fald skal I vurdere anmeldepligt efter databeskyttelsesreglerne.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in Ziroom ZHOME A0101 1.0.1.0. This affects an unknown part of the file /api/ZRnetwork/firstSetup_wifi. Executing a manipulation of the argument login_pwd can lead to command injection. The attack may be performed from remote. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.