CVE-2026-101262: Kritisk fejl i Ziroom ZHOME A0101
Kritisk fejl i Ziroom ZHOME A0101 tillader kommandoinjektion. Ingen opdatering findes, afbryd enheden fra netværket.
Hvad er det?
CVE-2026-101262 er en sårbarhed i det smart home-produkt Ziroom ZHOME A0101, version 1.0.1.0. Fejlen findes i funktionen /api/ZRQos/set_online_client, hvor parameteren ‘ip’ ikke bliver valideret korrekt, før den bruges i et systemkald. Det gør det muligt for en angriber at indsætte og afvikle vilkårlige kommandoer, en teknik der kaldes kommandoinjektion, direkte på enhedens styresystem. Sårbarheden kan udnyttes over netværket uden brugerinteraktion, men kræver at angriberen allerede har høje rettigheder på enheden, for eksempel gennem en administratorkonto. Koden til at udnytte sårbarheden er offentliggjort, og leverandøren har ikke svaret på henvendelser om fejlen.
Hvem rammer det?
Sårbarheden rammer virksomheder og institutioner, der bruger Ziroom ZHOME A0101 i version 1.0.1.0 til styring af smart home- eller bygningsfunktioner, for eksempel adgangskontrol, klimastyring eller netværksforbundne enheder. Produktet er mest udbredt i Kina, men kan også findes hos danske virksomheder med afdelinger, ejendomme eller udstyr indkøbt fra udenlandske leverandører.
Hvad kan ske?
En angriber, der allerede har et højt privilegeret login til enheden, for eksempel gennem stjålne eller svage administratoroplysninger, kan udnytte fejlen til at køre egne kommandoer på enhedens styresystem. Det kan give fuld kontrol over enheden, adgang til data den håndterer, og mulighed for at bruge den som adgangsvej videre ind i virksomhedens øvrige netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerinteraktion, men kræver at angriberen på forhånd har høje rettigheder på enheden. Det begrænser, hvem der reelt kan udnytte fejlen, men konsekvensen er alvorlig, da et vellykket angreb giver fuld kontrol over fortrolighed, integritet og tilgængelighed af enheden. Der er offentliggjort kode til at udnytte sårbarheden, men der er ikke rapporteret om udbredt aktiv udnyttelse.
Hvad gør jeg nu?
Da leverandøren ikke har reageret, findes der ingen opdatering. Gør derfor følgende:
- Afbryd enheden fra internettet og eventuelt fra interne netværk, indtil en løsning findes.
- Undersøg om jeres organisation bruger Ziroom ZHOME A0101, og bekræft at versionen er 1.0.1.0.
- Skift alle administrator-adgangskoder til enheden, og fjern konti med unødvendigt høje rettigheder.
- Følg leverandørens kanaler for en fremtidig opdatering, da Ziroom endnu ikke har reageret på henvendelser om fejlen.
- Overvej at udskifte enheden med et alternativ, hvis den er kritisk for driften, og der ikke kommer en løsning.
- Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvordan enheden er integreret i jeres netværk, eller mistænker at den allerede er kompromitteret.
Isolér enheden, ingen opdatering findes
Vi anbefaler, at I afbryder Ziroom ZHOME A0101 fra netværket, indtil leverandøren udgiver en opdatering. Er enheden ikke kritisk for driften, kan I roligt vente med at genetablere forbindelsen, til der findes en løsning. Er enheden nødvendig for driften, bør I i mellemtiden begrænse adgangen mest muligt og overvåge for usædvanlig aktivitet.
Tidslinje
Konkrete eksempler
Kompromitteret bygningsstyring hos en dansk virksomhed
En dansk virksomhed bruger Ziroom ZHOME A0101 til at styre adgangskontrol og klima i en satellitafdeling. En medarbejders svage administratoradgangskode bliver gættet af en angriber, der derefter udnytter kommandoinjektionsfejlen til at få fuld kontrol over enheden. Herfra får angriberen adgang til det interne netværk og kan aflæse trafik eller placere yderligere skadelig kode.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I bruger Ziroom ZHOME A0101 i version 1.0.1.0. Tjek jeres udstyrsliste eller kontakt den leverandør, der har installeret systemet, for at få bekræftet modellen.
Hvordan tjekker vi, om vores enhed er sårbar?
Log ind på enhedens administrationsside, og se firmwareversionen. Version 1.0.1.0 er bekræftet sårbar. Er I i tvivl, kan I kontakte den, der oprindeligt satte enheden op.
Kan vi vente med at gøre noget til efter weekenden?
Der findes ingen opdatering endnu, så tidsfaktoren afhænger af, hvor kritisk enheden er for jeres drift. Er den forbundet til internettet, anbefaler vi at afbryde den nu, uanset ugedag, da angrebskoden er offentligt tilgængelig.
Hvad gør vi, når leverandøren ikke svarer?
Hvis Ziroom fortsat ikke reagerer, bør I overveje at isolere enheden permanent fra netværket eller udskifte den med et produkt fra en leverandør, der aktivt vedligeholder sikkerhedsopdateringer.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at enheden faktisk er blevet kompromitteret, og at personoplysninger er kommet uvedkommende i hænde. I så fald skal hændelsen anmeldes til Datatilsynet inden for 72 timer.
Er sårbarheden udnyttet i praksis?
Der er ikke rapporteret om bekræftet aktiv udnyttelse. Angrebskoden er offentliggjort, hvilket øger risikoen for, at den bliver brugt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in Ziroom ZHOME A0101 1.0.1.0. This vulnerability affects unknown code of the file /api/ZRQos/set_online_client. The manipulation of the argument ip leads to command injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.