CVE-2026-101263: Kommandoindsprøjtning i Ziroom ZHOME A0101
Kritisk sikkerhedshul i Ziroom ZHOME A0101 kan udnyttes til at køre vilkårlige kommandoer på enheden. Der findes ingen opdatering, isolér enheden fra netværket.
Hvad er det?
CVE-2026-101263 er en sårbarhed i smart home-styreenheden Ziroom ZHOME A0101, version 1.0.1.0. Fejlen findes i webgrænsefladen /api/ZRQos/set_online_client, hvor parameteren mac ikke bliver renset for særlige tegn, før den bruges i et systemkald. Det gør det muligt at foretage kommandoindsprøjtning, det vil sige at snige egne styresystemkommandoer ind i et felt, der egentlig kun skulle indeholde en MAC-adresse. Lykkes angrebet, kan angriberen få enheden til at udføre kommandoer, som om det var administratoren selv. Sårbarheden kan udnyttes over netværket, og der skal ikke klikkes på noget eller åbnes en fil, for at den virker.
Hvem rammer det?
Sårbarheden rammer Ziroom ZHOME A0101 med firmwareversion 1.0.1.0. Produktet bruges typisk til at styre smart home-installationer, for eksempel adgangskontrol, klimastyring og netværksudstyr i boliger og ejendomme. I Danmark vil det især være ejendomsadministratorer, udlejere og installatører, der har sat systemet op hos kunder, som er berørt. Angrebet kræver en konto med høje rettigheder på enheden, så risikoen er størst, hvis enheden er tilgængelig fra internettet, eller hvis en tekniker- eller administratorkonto er kompromitteret.
Hvad kan ske?
En angriber, der får adgang til en konto med høje rettigheder på enheden, kan overtage fuld kontrol med den. Det kan bruges til at aflytte eller manipulere data fra tilsluttet udstyr, ændre enhedens konfiguration eller bruge den som adgangspunkt videre ind i virksomhedens eller ejendommens netværk. For en dansk ejendomsadministrator kan det betyde, at adgangskontrol eller overvågningsudstyr sættes ud af drift, eller at enheden bruges til at angribe andre systemer på samme netværk.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kan gennemføres over netværket uden brugerinteraktion, men kræver høje rettigheder på enheden, altså en form for administrator- eller teknikeradgang i forvejen. Det gør sårbarheden alvorlig, men den forudsætter, at en konto med høje privilegier først er blevet kompromitteret, eller at enheden fejlagtigt er sat op med svage eller lækkede administratoradgange. Der er offentliggjort en fungerende metode til at udnytte sårbarheden, men vi har ikke set bekræftet, at den udnyttes aktivt i angreb.
Hvad gør jeg nu?
Da leverandøren ikke har reageret på henvendelser om sårbarheden, findes der ingen opdatering. Følgende skridt begrænser risikoen mest muligt:
- Fjern enheden fra internettet og placer den bag firewall, så kun betroede administratorer kan tilgå styrefladen.
- Skift alle adgangskoder til konti med høje rettigheder på enheden, og fjern konti, der ikke længere er nødvendige.
- Gennemgå adgangslister og logfiler for enheden for at se, om der er tegn på uautoriseret adgang.
- Overvej at segmentere netværket, så smart home-udstyr ikke kan nå følsomme systemer eller data.
- Kontakt leverandøren igen for at høre til en tidsplan for en rettelse, og overvej udskiftning af enheden, hvis der ikke kommer svar.
- Har I ikke selv kompetencerne til at foretage netværkssegmentering eller loggennemgang, bør I hente hjælp fra en it-sikkerhedsrådgiver til at gennemføre punkterne ovenfor.
Isolér enheden fra netværket i dag
Vi anbefaler, at enheden straks fjernes fra direkte internetadgang og placeres bag en firewall, samt at alle administratorkonti får nye adgangskoder. Da leverandøren ikke har svaret på henvendelser om sårbarheden, bør I ikke forvente en officiel rettelse inden for overskuelig tid, og en udskiftning af enheden bør overvejes som en langsigtet løsning. Det er kun forsvarligt at vente, hvis enheden allerede er fuldt isoleret fra internettet og kun tilgængelig for et lille, betroet antal administratorer.
Tidslinje
Konkrete eksempler
Kompromitteret teknikeradgang hos ejendomsadministrator
En dansk ejendomsadministrator bruger Ziroom ZHOME A0101 til at styre adgangskontrol i en større udlejningsejendom. En tidligere teknikers administratorkonto er ikke blevet lukket ned efter endt samarbejde, og adgangskoden er genbrugt fra en anden tjeneste, der tidligere er blevet lækket. En angriber logger ind med den gamle konto og udnytter fejlen i mac-parameteren til at få fuld kontrol over enheden, hvorefter adgangskontrollen til ejendommen kan manipuleres.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I bruger Ziroom ZHOME A0101 med firmwareversion 1.0.1.0 til at styre smart home- eller ejendomsudstyr. Tjek enhedens administrationsside eller kontakt jeres installatør for at bekræfte version.
Kan vi vente med at gøre noget til efter weekenden?
Det afhænger af, om enheden er tilgængelig fra internettet. Er den det, bør I fjerne adgangen straks, da der findes en offentligt kendt metode til at udnytte fejlen. Er enheden allerede isoleret bag en firewall med begrænset administratoradgang, kan I vente til I har tid til en grundig gennemgang.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ingen brugerinteraktion, men det kræver, at angriberen allerede har en konto med høje rettigheder på enheden. Risikoen stiger derfor, hvis administratoradgange er svage, genbrugte eller tidligere er lækket.
Findes der en opdatering fra Ziroom?
Nej. Leverandøren blev kontaktet tidligt i forløbet, men har ikke svaret, og der er ikke udsendt en rettelse. Det eneste, I kan gøre, er at begrænse adgangen til enheden og overveje en udskiftning.
Hvordan tjekker vi, om enheden allerede er misbrugt?
Gennemgå enhedens logfiler for uventede kommandoer eller ukendte administratorkonti, og se efter uventet netværkstrafik til eller fra enheden. Er I i tvivl om, hvordan I læser logfilerne, bør en ekstern sikkerhedsrådgiver inddrages.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata eller kritiske systemer er blevet kompromitteret. I så fald skal I vurdere anmeldepligt efter databeskyttelsesloven og eventuelt kontakte Datatilsynet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in Ziroom ZHOME A0101 1.0.1.0. This issue affects some unknown processing of the file /api/ZRQos/set_online_client. The manipulation of the argument mac results in command injection. It is possible to launch the attack remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.