CVE-2026-102794: Kommandoindsprøjtning i Ziroom ZHOME
Kritisk sårbarhed i Ziroom ZHOME A0101 gør det muligt at køre vilkårlige kommandoer på enheden. Ingen rettelse findes, isolér enheden fra netværket.
Hvad er det?
Sårbarheden CVE-2026-102794 findes i styringsenheden Ziroom ZHOME A0101, version 1.0.1.0, som bruges til at styre smart home-udstyr. Fejlen sidder i funktionen /api/ZRnetwork/ping, hvor parameteren url ikke bliver renset korrekt, før den sendes videre til systemet. Det kaldes kommandoindsprøjtning: en angriber kan indsætte sine egne systemkommandoer i det, der skulle have været en almindelig netværksadresse, og få enheden til at udføre dem.
Hvem rammer det?
Det rammer virksomheder og udlejere, der bruger Ziroom ZHOME A0101 version 1.0.1.0 til at styre smart home-funktioner, for eksempel i erhvervsudlejning, kontorfællesskaber eller facility management. Sårbarheden kræver, at angriberen allerede har en administratorkonto på enheden, men når det er tilfældet, kan angrebet gennemføres over netværket uden yderligere brugerinteraktion.
Hvad kan ske?
En angriber med administratoradgang kan udnytte fejlen til at få enheden til at udføre vilkårlige kommandoer på operativsystemniveau. I praksis kan det betyde fuld kontrol over enheden, adgang til data den håndterer, og mulighed for at bruge den som springbræt videre ind i virksomhedens netværk, for eksempel til at aflytte trafik eller angribe andre systemer på samme netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket (AV:N) med lav kompleksitet (AC:L) og kræver ingen handling fra en bruger. Til gengæld kræver det, at angriberen allerede har høje rettigheder (PR:H), altså en form for administratoradgang til enhedens API. Konsekvensen ved et vellykket angreb er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der findes offentligt tilgængelig kode til at udnytte fejlen, men det er ikke bekræftet, at den er udnyttet i aktive angreb.
Hvad gør jeg nu?
Da leverandøren ikke har reageret, findes der ingen officiel rettelse. Fokus skal derfor være på at begrænse adgangen til enheden.
- Fjern enhedens API fra internettet og begræns adgang til /api/ZRnetwork/ping til et internt, betroet netværk med firewallregler.
- Gennemgå og begræns, hvem der har administratoradgang til enheden, så antallet af konti med høje rettigheder minimeres.
- Segmentér enheden på et separat VLAN, adskilt fra kontornet og andre kritiske systemer.
- Overvåg logs for uventede kommandoer eller unormal trafik til og fra enheden.
- Kontakt leverandøren igen for at høre til status på en rettelse, og overvej at udskifte enheden, hvis den ikke længere understøttes.
- Hvis I ikke selv har ressourcer til at segmentere netværket eller vurdere risikoen for jeres konkrete opsætning, så få hjælp fra en ekstern sikkerhedsrådgiver.
Bloker netadgang til enheden i dag
Vi anbefaler, at I straks afskærer enhedens API fra internettet og lægger den på et isoleret netværkssegment, da der ikke findes nogen rettelse fra leverandøren. Det er ikke forsvarligt at vente, hvis enheden er tilgængelig fra internettet eller fra et netværk med mange brugere. Er enheden allerede isoleret på et internt netværk uden adgang udefra, og administratoradgangen er strengt begrænset, kan I vente med udskiftning, men bør følge med i, om leverandøren udsender en rettelse.
Tidslinje
Konkrete eksempler
Smart home-hub i udlejningsejendom
Et dansk ejendomsselskab bruger Ziroom ZHOME A0101 til at styre adgangskontrol og klimastyring i en erhvervsejendom. En tidligere medarbejder, der stadig har en administratorkonto til enheden, udnytter sårbarheden til at få enheden til at afvikle egne kommandoer og dermed skabe adgang videre ind i ejendommens netværk. Fordi enheden ikke var netværksmæssigt adskilt fra kontorsystemerne, kan angriberen bruge den som springbræt til andre systemer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger Ziroom ZHOME A0101 version 1.0.1.0 til at styre smart home-udstyr. Tjek enhedens firmwareversion i administrationsgrænsefladen for at bekræfte.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen brugerinteraktion, men angriberen skal have en administratorkonto på enheden i forvejen. Uden den adgang kan angrebet ikke gennemføres.
Kan vi vente til weekenden med at gøre noget?
Hvis enheden er tilgængelig fra internettet, bør I lukke adgangen samme dag, I opdager det. Er enheden allerede isoleret internt med begrænset administratoradgang, kan I planlægge en mere grundig gennemgang i løbet af kort tid.
Findes der en opdatering, vi kan installere?
Nej. Leverandøren er blevet kontaktet, men har ikke svaret, og der findes ingen officiel rettelse. Løsningen indtil videre er at begrænse adgang og overvåge enheden.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og persondata eller kritiske systemer er blevet kompromitteret. I så fald skal I vurdere anmeldepligt efter databeskyttelsesreglerne og eventuelt kontakte Datatilsynet.
Hvordan tjekker vi, om enheden er blevet misbrugt?
Gennemgå logs for enheden for uventede kommandoer, ukendte netværksforbindelser eller ændringer i konfigurationen, som I ikke selv har foretaget. Sammenlign med normal driftshistorik.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in Ziroom ZHOME A0101 1.0.1.0. This issue affects some unknown processing of the file /api/ZRnetwork/ping. Such manipulation of the argument url leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.