CVE-2026-101354: Kritisk fejl i FAST FAC1203R router
Kritisk sikkerhedshul i routeren FAST FAC1203R kan give angribere på jeres netværk fuld kontrol. Der er ingen opdatering, skift routeren ud.
Hvad er det?
CVE-2026-101354 er en fejl i routeren FAST FAC1203R med firmwareversion 20200116_2.0.4. Fejlen sidder i en funktion kaldet _tWlanTask, som er en del af routerens komponent MmtAtePrase Parser. Her opstår et såkaldt stack-based buffer overflow, en fejltype hvor et program skriver mere data ind i en hukommelsesblok, end der er plads til, hvilket kan give en angriber mulighed for at afvikle sin egen kode på enheden. Angrebet kræver ikke login og ingen handling fra en bruger. Koden til at udnytte fejlen er offentliggjort, så alle med adgang til det lokale netværk kan bruge den.
Hvem rammer det?
Sårbarheden rammer routeren FAST FAC1203R med firmwaren 20200116_2.0.4. Det drejer sig typisk om mindre kontorer, filialer eller hjemmekontorer, hvor denne router bruges som trådløst adgangspunkt eller netværksrouter. Er I i tvivl om, hvilken model og firmware jeres netværksudstyr kører, bør IT-driften tjekke enheden fysisk eller gennem administrationssiden.
Hvad kan ske?
Får en angriber først adgang til jeres lokale netværk, for eksempel via en gæste-wifi, et kompromitteret medarbejderudstyr eller fysisk adgang til kontoret, kan angrebet overtage selve routeren. Herfra kan angriberen aflytte trafik, omdirigere internetopkald, indsætte skadelig kode i netværkstrafikken eller bruge routeren som springbræt videre ind i jeres øvrige netværk. For en dansk virksomhed betyder det i praksis, at en enkelt kompromitteret enhed på netværket kan give adgang til hele det interne netværk bag routeren.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen interaktion fra en bruger, og det er nemt at udføre teknisk set. Den eneste begrænsning er, at angriberen skal have adgang til det tilstødende netværk, altså samme lokale netværk eller wifi som routeren, ikke direkte fra internettet. Konsekvensen rammer fuldt ud fortrolighed, integritet og tilgængelighed, hvilket betyder, at angriberen kan læse data, ændre data og lukke systemet ned. Kode til at udnytte fejlen er allerede offentliggjort.
Hvad gør jeg nu?
Der findes ingen opdatering fra leverandøren, som ikke har reageret på henvendelsen om sårbarheden. Handlingsplanen må derfor gå på at begrænse risikoen og udskifte udstyret.
- Identificér om I bruger en FAST FAC1203R router, og find ud af hvilken firmwareversion den kører.
- Isolér routeren fra kritiske systemer, for eksempel ved at sætte den på et separat gæstenetværk uden adgang til interne servere og filer.
- Begræns adgangen til det trådløse netværk med et stærkt kodeord, og deaktivér gæsteadgang, hvis den ikke er nødvendig.
- Planlæg udskiftning af routeren til et produkt fra en leverandør, der løbende leverer sikkerhedsopdateringer.
- Overvåg netværkstrafik for usædvanlig aktivitet, indtil routeren er udskiftet.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I er i tvivl om, hvordan netværket skal segmenteres, eller hvis routeren er en kritisk del af infrastrukturen.
Udskift routeren snarest muligt
Vi anbefaler, at I stopper med at bruge FAST FAC1203R, da leverandøren ikke har rettet fejlen og ikke har reageret på henvendelser om den. Det er ikke forsvarligt at vente, da angrebskoden allerede er offentligt tilgængelig, og alle med adgang til jeres netværk kan udnytte den. Kan udskiftning ikke ske med det samme, bør routeren isoleres på et separat netværkssegment uden adgang til følsomme systemer, indtil den er skiftet ud.
Tidslinje
Konkrete eksempler
Kompromitteret gæstenetværk på et lille kontor
En dansk virksomhed med 15 medarbejdere bruger en FAST FAC1203R som trådløs router på kontoret, hvor gæster og medarbejdere deler samme netværk. En besøgende med ondsindede hensigter tilslutter sig gæstenettet og udnytter fejlen i routeren til at overtage den. Herfra aflytter angriberen trafik og forsøger at få adgang til virksomhedens interne filserver.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en FAST FAC1203R router med firmwareversion 20200116_2.0.4. Tjek routerens administrationsside eller mærkat på enheden for at bekræfte model og firmwareversion.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebskoden er allerede offentliggjort, og angrebet kræver hverken login eller brugerinteraktion. Vi anbefaler at isolere eller udskifte routeren så hurtigt som praktisk muligt.
Skal angriberen have adgang til internettet for at ramme os?
Nej, angrebet kræver adgang til det lokale netværk eller wifi, hvor routeren sidder. Det kan ske via en kompromitteret enhed på netværket, en gæsteforbindelse eller fysisk adgang til kontoret.
Findes der en opdatering, vi kan installere?
Nej. Leverandøren blev kontaktet tidligt i forløbet, men har ikke reageret, og der er ingen opdatering til fejlen. Den eneste holdbare løsning er at udskifte routeren.
Skal vi anmelde denne hændelse?
Hvis I opdager tegn på, at routeren allerede er kompromitteret, og persondata kan være berørt, skal I vurdere anmeldelse efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver ved mistanke om et konkret angreb.
CVSS-detaljer
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in FAST FAC1203R 20200116_2.0.4. The affected element is the function _tWlanTask of the component MmtAtePrase Parser. Performing a manipulation results in stack-based buffer overflow. The attacker must have access to the local network to execute the attack. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.