CVE-2026-101264: Kritisk fejl i Ziroom ZHOME A0101
Kritisk kommandoinjektion i Ziroom ZHOME A0101 kan give en angriber fuld kontrol over enheden. Der findes ingen opdatering, isolér enheden fra internettet.
Hvad er det?
Der er fundet en alvorlig sårbarhed i Ziroom ZHOME A0101, version 1.0.1.0, en smart home-enhed. Fejlen sidder i filen /api/ZRnetwork/set_passwd, hvor parameteren password1 sendes videre til enhedens styresystem uden ordentlig kontrol. Det kaldes kommandoinjektion: en angriber kan skjule egne systemkommandoer i det, der ligner en almindelig kodeskift-forespørgsel, og få enheden til at udføre dem. Koden til at udnytte fejlen er offentliggjort. Producenten er kontaktet, men har ikke svaret eller udsendt en rettelse.
Hvem rammer det?
Sårbarheden rammer specifikt Ziroom ZHOME A0101 i version 1.0.1.0. Det er en styreenhed til smart home-funktioner, som primært kendes fra det kinesiske marked, men samme enheder kan forekomme hos danske virksomheder, der driver udlejningsejendomme, hoteller eller kontorer med kinesisk indkøbt automationsudstyr. Det relevante er enhver enhed på nettet, der eksponerer administrationsgrænsefladen /api/ZRnetwork/set_passwd.
Hvad kan ske?
En angriber, der får adgang til enhedens administrationsfunktion, kan afvikle vilkårlige kommandoer på enheden. I praksis betyder det fuld overtagelse: angriberen kan læse og ændre konfiguration, installere skadelig software eller bruge enheden som adgangspunkt videre ind i virksomhedens netværk. For en dansk virksomhed med denne enhed tilsluttet det interne netværk kan det ende med, at en isoleret smart home-enhed bliver indgangen til hele netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver netværksadgang og lav teknisk kompleksitet, og det kræver ingen handling fra en bruger. Til gengæld kræver det, at angriberen allerede har høje privilegier på enheden, altså en form for administratoradgang. Da mange IoT-enheder som denne har standardadgangskoder eller svag adgangskontrol, er den barriere ofte lav i praksis. Sårbarheden er offentliggjort med teknisk detaljer og udnyttelseskode, men der er ikke bekræftet aktiv udnyttelse i angreb.
Hvad gør jeg nu?
Da producenten ikke har reageret, findes der ingen officiel rettelse. Fokus skal derfor være på at begrænse eksponering og adgang.
- Fjern enheden fra internettet eller placér den bag en firewall, så administrationsgrænsefladen /api/ZRnetwork/set_passwd ikke er tilgængelig udefra.
- Skift standardadgangskoder og alle administratorkonti på enheden til stærke, unikke koder.
- Isolér enheden i et separat netværkssegment, adskilt fra kontornetværk og øvrige systemer.
- Overvåg netværkstrafik til og fra enheden for uventet aktivitet.
- Overvej at udskifte enheden med et produkt, hvor producenten løbende leverer sikkerhedsopdateringer.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om enheden er eksponeret, eller hvis I har brug for hjælp til at segmentere netværket korrekt.
Isolér enheden fra internettet nu
Vi anbefaler, at enheden straks fjernes fra internettet og placeres i et isoleret netværkssegment, da der ikke findes en rettelse fra producenten. Skift adgangskoder med det samme, og overvej på sigt at udskifte enheden med et produkt, der understøttes sikkerhedsmæssigt. Det er ikke forsvarligt at vente til en fast opdateringscyklus, da udnyttelseskoden allerede er offentlig.
Tidslinje
Konkrete eksempler
Smart home-enhed som indgang til kontornetværk
En dansk udlejningsvirksomhed har installeret en Ziroom ZHOME A0101 til styring af varme og adgang i en udlejningsejendom, og enheden deler netværk med kontorets øvrige systemer. En angriber finder enhedens administrationsgrænseflade tilgængelig via internettet, gætter eller finder standardadgangskoden, og udnytter kommandoinjektionen til at få kommandolinjeadgang på enheden. Herfra scanner angriberen det interne netværk og finder vej videre til virksomhedens filserver.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har en Ziroom ZHOME A0101 i version 1.0.1.0 tilsluttet jeres netværk. Tjek jeres udstyrsliste for smart home- eller automationsenheder, og undersøg producent og modelnummer på fysiske enheder, hvis I er i tvivl.
Hvordan tjekker vi, om enheden er eksponeret på internettet?
Kontrollér jeres firewallregler for enhedens IP-adresse, og undersøg om administrationsgrænsefladen kan tilgås udefra. En simpel test er at forsøge at nå enhedens webadministration fra en enhed uden for netværket.
Kan vi vente til weekenden med at reagere?
Vi anbefaler ikke at vente, da udnyttelseskoden allerede er offentliggjort. Isolering af enheden fra internettet kan gøres med det samme og kræver ikke en fuld udskiftning af udstyret.
Findes der en opdatering, vi kan installere?
Nej. Producenten er kontaktet, men har ikke svaret eller udsendt en rettelse. Der findes derfor ingen officiel opdatering at installere.
Skal vi anmelde hændelsen, hvis enheden har været eksponeret?
Hvis I har mistanke om, at enheden faktisk er blevet udnyttet, og der er sket adgang til personoplysninger eller andre systemer, skal I vurdere jeres anmeldelsespligt efter databeskyttelsesreglerne. Kontakt gerne en rådgiver for at afklare omfanget først.
Hvad er kommandoinjektion helt konkret?
Det er en fejl, hvor et program tager imod brugerinput og videresender det direkte til systemets kommandolinje uden at rense det. En angriber kan derved få enheden til at udføre egne kommandoer, som om de kom fra en betroet administrator.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in Ziroom ZHOME A0101 1.0.1.0. Impacted is an unknown function of the file /api/ZRnetwork/set_passwd. This manipulation of the argument password1 causes command injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.