CVE-2026-102793: Kommandoinjektion i Ziroom ZHOME A0101
Kritisk sårbarhed i Ziroom ZHOME A0101 giver kommandoinjektion via set_time_zone. Isolér enheden, da der ikke findes en opdatering.
Hvad er det?
CVE-2026-102793 er en sårbarhed i den smarte hjemme-enhed Ziroom ZHOME A0101, firmwareversion 1.0.1.0. Fejlen sidder i funktionen set_time_zone i webservicen /api/ZRFirmware/set_time_zone, hvor parametrene hostname og zonename ikke bliver renset ordentligt, før de bruges i en systemkommando. Det kaldes kommandoinjektion: en angriber kan indsætte egne kommandoer, som enheden derefter udfører med sine egne rettigheder. Fejlen kan udnyttes over netværket uden brugerinteraktion, men kræver at angriberen allerede har et konto med høje rettigheder på enheden.
Hvem rammer det?
Sårbarheden rammer enheder med Ziroom ZHOME A0101, firmwareversion 1.0.1.0. Produktet er en smart hjemme-styringsenhed, der primært kendes fra det kinesiske marked, men kan forekomme i Danmark via importerede IoT-løsninger, udlejningsejendomme med kinesisk-leveret smart home-udstyr eller integratorer, der har genbrugt komponenter fra dette produkt. Er I i tvivl om, hvorvidt I har enheden i drift, bør I gennemgå jeres liste over IoT-enheder og deres firmware.
Hvad kan ske?
En angriber, der allerede har adgang til enheden med høje rettigheder, for eksempel via et administratorlignende konto på et internt netværk, kan udnytte fejlen til at få fuld kontrol over enhedens styresystem. Fordi angrebet kan skifte sikkerhedskontekst (scope changed), kan angriberen bruge enheden som springbræt til at kompromittere andre systemer på samme netværk, aflytte trafik eller slå enheden fra. For en dansk virksomhed med IoT-styring i bygninger kan det betyde tab af kontrol over adgangssystemer, kameraer eller klimastyring.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket, men det forudsætter, at angriberen allerede har høje privilegier på enheden, for eksempel via et kompromitteret administratorkonto eller en anden sårbarhed, der giver den adgang. Der er offentliggjort en fungerende udnyttelseskode (exploit), men vi har ikke belæg for, at sårbarheden aktivt bliver udnyttet i skarpe angreb mod danske virksomheder. Leverandøren er kontaktet, men har ikke svaret, og der findes ingen officiel rettelse.
Hvad gør jeg nu?
Da der ikke findes en opdatering fra leverandøren, handler det om at begrænse adgangen til enheden mest muligt.
- Fjern enheden fra internettet og placér den på et isoleret netværkssegment, så kun nødvendigt administrativt udstyr kan nå den.
- Gennemgå og begræns, hvem der har administratoradgang til enheden, og skift alle adgangskoder til høj-privilegerede konti.
- Deaktivér fjernadministration og webinterfacet /api/ZRFirmware, hvis det ikke er strengt nødvendigt i den daglige drift.
- Overvåg netværkstrafik til og fra enheden for uventede kommandoer eller forbindelser.
- Undersøg om enheden kan udskiftes med et produkt, der modtager løbende sikkerhedsopdateringer, da leverandøren ikke har reageret på henvendelsen.
- Kontakt en sikkerhedsrådgiver, hvis enheden er integreret i kritiske systemer som adgangskontrol eller bygningsstyring, og I er usikre på, hvordan I isolerer den korrekt.
Isolér enheden fra netværket i dag
Vi anbefaler, at I straks kortlægger, om Ziroom ZHOME A0101 findes i jeres miljø, og at I isolerer den fra netværket, indtil der findes en løsning. Da leverandøren ikke har svaret, bør I overveje udskiftning som en permanent løsning frem for at vente på en rettelse. Det er ikke forsvarligt at vente, hvis enheden er tilgængelig fra et bredere netværk eller internettet, men hvis den allerede er isoleret og kun tilgås af få betroede administratorer, kan I planlægge udskiftningen over de kommende uger.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto på bygningsstyring
En dansk udlejningsejendom har installeret et smart home-system med Ziroom ZHOME-enheder til styring af varme og adgang. En tidligere ansat i driftsafdelingen har stadig et administratorkonto med høje rettigheder efter fratrædelse. Kontoen bliver misbrugt til at udnytte sårbarheden i set_time_zone, hvorefter angriberen får fuld kontrol over enheden og kan afbryde varmestyring eller åbne adgangssystemer for hele ejendommen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte enhed?
Gennemgå jeres oversigt over IoT- og bygningsstyringsenheder for produktnavnet Ziroom ZHOME A0101. Tjek firmwareversionen via enhedens administrationsinterface, hvis I har adgang, eller spørg jeres installatør eller integrator, om produktet indgår i en leveret løsning.
Kan vi vente med at gøre noget til efter weekenden?
Hvis enheden er tilgængelig fra internettet eller et delt netværk, bør I isolere den nu, da der findes offentliggjort angrebskode. Er enheden allerede afskærmet på et lukket segment med få brugere, kan den strammere handling vente et par dage, mens I planlægger udskiftning.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen brugerinteraktion. Til gengæld kræver angrebet, at angriberen allerede har et konto med høje rettigheder på enheden, hvilket typisk sker via et tidligere kompromitteret administratorkonto.
Er der en officiel rettelse på vej?
Der findes ingen officiel rettelse. Leverandøren blev kontaktet i forbindelse med offentliggørelsen, men har ikke reageret. Vi anbefaler derfor at behandle sårbarheden som permanent, indtil andet er oplyst.
Skal vi anmelde hændelsen, hvis vi opdager forsøg på udnyttelse?
Ja, hvis I konstaterer et faktisk angreb eller kompromittering, bør I følge jeres normale procedure for hændelseshåndtering og overveje anmeldelse til Center for Cybersikkerhed samt eventuelt Datatilsynet, hvis persondata er berørt.
Kan vi bare beskytte enheden med en firewall i stedet for at udskifte den?
En firewall og netværkssegmentering reducerer risikoen betydeligt og er en god midlertidig løsning. Da leverandøren ikke har reageret, bør I dog planlægge udskiftning på sigt, da enheden formentlig ikke får en permanent rettelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in Ziroom ZHOME A0101 1.0.1.0. This vulnerability affects the function set_time_zone of the file /api/ZRFirmware/set_time_zone. This manipulation of the argument hostname/zonename causes command injection. It is possible to initiate the attack remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.