CVE-2026-102792: Kommando-indjektion i Ziroom ZHOME A0101
Kommando-indjektion i Ziroom ZHOME A0101 giver angribere med administratoradgang mulighed for at køre vilkårlige systemkommandoer. Der findes ingen rettelse.
Hvad er det?
Sårbarheden sidder i Ziroom ZHOME A0101, version 1.0.1.0, en smart-home-gateway der styrer netværksfunktioner. Fejlen findes i funktionen set_syslog i webgrænsefladen /api/ZRnetwork/set_syslog, hvor parametrene conloglevel og log_size ikke bliver renset, før de sendes videre til enhedens styresystem. Det betyder, at en angriber kan indsætte egne systemkommandoer, kaldet kommando-indjektion, som bliver udført med enhedens egne rettigheder. En udnyttelseskode er offentliggjort, og leverandøren har ikke svaret på henvendelser om rettelse.
Hvem rammer det?
Det rammer virksomheder og institutioner, der bruger Ziroom ZHOME A0101 med firmwareversion 1.0.1.0 i deres netværk, typisk som del af en smart-home- eller IoT-opsætning på kontoret eller i ejendomme, virksomheden administrerer. Enheden styrer netværksfunktioner og kan derfor have adgang til andre systemer på samme netværk. Der er ikke offentliggjort en rettet version.
Hvad kan ske?
Har en angriber først opnået administrativ adgang til enhedens webgrænseflade, for eksempel gennem en standardadgangskode eller en anden svaghed, kan sårbarheden bruges til at køre vilkårlige kommandoer på enhedens styresystem. Det giver fuld kontrol over enheden, mulighed for at aflytte netværkstrafik, ændre indstillinger eller bruge enheden som springbræt til at angribe andre systemer på det interne netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet foregår over netværket og kræver ingen handling fra en bruger, men forudsætter, at angriberen allerede har høje rettigheder på enheden, typisk en administratorkonto. Når den adgang er til stede, er selve udnyttelsen ukompliceret, og konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. En udnyttelseskode er offentligt tilgængelig, hvilket sænker tærsklen for at bruge fejlen.
Hvad gør jeg nu?
Da leverandøren ikke har reageret, findes der ingen officiel rettelse. Fokusér på at begrænse adgangen til enheden.
- Isolér enheden fra det øvrige netværk, eller flyt dens administrationsgrænseflade til et separat, afskærmet administrativt netværk.
- Skift alle standardadgangskoder på enheden, og fjern administratorkonti, der ikke er strengt nødvendige.
- Bloker ekstern adgang til /api/ZRnetwork/set_syslog via firewall eller adgangslister, hvis enheden tillader det.
- Overvåg netværkstrafik til og fra enheden for uventede forbindelser eller kommandoer.
- Kontakt leverandøren for status på en rettelse, og overvej at udskifte enheden, hvis den forbliver uopdateret over tid.
- Søg ekstern hjælp, hvis I ikke selv kan kortlægge, hvilke IoT-enheder I har, eller isolere dem korrekt på netværket.
Isolér enheden inden for 24 timer
Vi anbefaler, at I straks kortlægger, om Ziroom ZHOME A0101 indgår i jeres netværk, og at I isolerer enheden fra andre systemer, indtil en rettelse foreligger. Da der kræves administratoradgang for at udnytte fejlen, er det vigtigste første skridt at sikre, at ingen uvedkommende kan logge ind på enheden med standard- eller svage adgangskoder. Det er ikke forsvarligt at vente på en rettelse fra leverandøren, da denne ikke har reageret på henvendelser, så en permanent løsning bør være udskiftning af enheden på sigt.
Tidslinje
Konkrete eksempler
Kompromitteret smart-home-gateway i mindre udlejningsejendom
En dansk boligadministrator bruger Ziroom ZHOME A0101 til at styre netværksadgang i en udlejningsejendom med fælles internetforbindelse. En tidligere lejer, der stadig kender administratoradgangskoden, logger ind på enhedens webgrænseflade og bruger sårbarheden i set_syslog til at køre kommandoer, der giver adgang til hele det interne netværk, herunder øvrige beboeres enheder.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger denne enhed?
Gennemgå jeres liste over netværksudstyr og IoT-enheder, og kig efter Ziroom ZHOME som produktnavn. Er I i tvivl, kan I kontakte den leverandør eller installatør, der har opsat jeres smart-home- eller netværksløsning.
Kan vi vente til weekenden med at gøre noget?
Nej. En udnyttelseskode er offentligt tilgængelig, og der findes ingen rettelse fra leverandøren. Isolér enheden fra netværket eller skift adgangskoder samme dag, I opdager, at den er i brug.
Er vi beskyttet, fordi angrebet kræver høje rettigheder?
Delvist. Kravet om administratoradgang gør angrebet sværere at gennemføre for en tilfældig udefra, men mange enheder bruger standardadgangskoder eller svage konti, som allerede er kendte eller nemme at gætte. Skift derfor adgangskoder, selvom kravet om høje rettigheder giver en vis beskyttelse.
Skal vi anmelde hændelsen, hvis vi opdager forsøg på udnyttelse?
Ja, hvis I konstaterer, at enheden er blevet kompromitteret, og persondata eller kritiske systemer kan være berørt, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Datatilsynet eller CFCS afhængigt af hændelsens omfang.
Hvad gør vi, hvis vi ikke kan isolere enheden fra netværket?
Kontakt jeres it-leverandør eller en sikkerhedsrådgiver for at få hjælp til segmentering af netværket eller midlertidig deaktivering af enheden, indtil en løsning er på plads.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in Ziroom ZHOME A0101 1.0.1.0. This affects the function set_syslog of the file /api/ZRnetwork/set_syslog. The manipulation of the argument conloglevel/log_size results in command injection. The attack may be performed from remote. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.