CVE-2026-18602: Kommandoinjektion i GL.iNet GL-MT3000
Kritisk kommandoinjektion i GL.iNet GL-MT3000 gør det muligt at overtage routeren uden login. Isolér enheden, til en opdatering findes.
Hvad er det?
CVE-2026-18602 er en sårbarhed i routeren GL.iNet GL-MT3000 (Beryl AX) i firmwareversioner op til 4.4.5. Fejlen ligger i funktionen ovpn-client.get_recommend_config i filen /cgi-bin/glc, som er en del af routerens VPN-klientmodul. Sårbarheden er en kommandoinjektion: hvis parameteren Hostname ikke renses ordentligt, kan en angriber indsætte egne systemkommandoer, som routeren derefter afvikler med fulde rettigheder. Angrebet kan udføres over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger på routeren. Detaljer om sårbarheden og en metode til at udnytte den er offentliggjort, hvilket gør det lettere for andre at genskabe angrebet.
Hvem rammer det?
Sårbarheden rammer GL.iNet GL-MT3000-routere med firmware op til og med version 4.4.5. Denne router bruges typisk af mindre virksomheder og kontorer til fjernadgang og VPN-forbindelser, ofte i filialer, hjemmearbejdspladser eller som backup-internetforbindelse. Alle enheder, hvor administrationsgrænsefladen eller cgi-bin-tjenesten er tilgængelig fra internettet eller et utilstrækkeligt afskærmet netværk, er sårbare.
Hvad kan ske?
En angriber, der kan nå routerens webgrænseflade, kan afvikle egne kommandoer direkte på enheden. Det giver mulighed for at overtage routeren fuldstændigt, aflytte og omdirigere netværkstrafik, oprette skjulte adgangsveje ind i virksomhedens netværk eller bruge routeren som springbord til angreb på andre systemer. For en dansk virksomhed, der bruger routeren til VPN-forbindelser mellem kontorer, betyder det, at hele forbindelsen mellem lokationer kan kompromitteres uden at nogen medarbejder klikker på noget eller taster en adgangskode forkert.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendelse (ingen login), ingen brugerhandling og kan udføres fra netværket med lav teknisk kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på den ramte enhed. Der findes offentligt kendt materiale om, hvordan sårbarheden udnyttes, men der er ingen bekræftede rapporter om aktiv udnyttelse i angreb endnu.
Hvad gør jeg nu?
Der findes ikke en officiel opdatering fra leverandøren på nuværende tidspunkt, så I skal reducere risikoen med andre midler, indtil den kommer.
- Fjern administrationsgrænsefladen og cgi-bin-tjenesten fra internettet. Sørg for, at routeren kun kan administreres fra et internt, betroet netværk.
- Deaktivér ovpn-client-funktionen, hvis den ikke er i aktiv brug, eller begræns adgang til den via firewallregler til kendte IP-adresser.
- Tjek routerens firmwareversion og hold øje med leverandørens hjemmeside for en rettelse til version efter 4.4.5.
- Gennemgå logs for usædvanlig trafik til /cgi-bin/glc eller uventede kommandoer på enheden.
- Overvej at udskifte eller isolere enheden bag en ekstra firewall, hvis den er kritisk for netværksdriften og ikke kan lukkes helt ned for ekstern adgang.
- Kontakt en sikkerhedsspecialist eller Auroa, hvis I ikke selv kan verificere, om routeren er eksponeret, eller hvis I mangler ressourcer til at gennemføre afskærmningen korrekt.
Afskærm administrationen inden for 24 timer
Vi anbefaler, at I straks tjekker, om jeres GL.iNet GL-MT3000-routere er tilgængelige fra internettet, og lukker administrationsadgangen ned, indtil en officiel opdatering foreligger. Da en metode til at udnytte sårbarheden allerede er offentliggjort, bør I ikke vente på en rettelse, før I reducerer eksponeringen. Det er kun i orden at afvente, hvis routeren allerede er fuldt afskærmet fra internettet og eksterne netværk med en pålidelig firewall.
Tidslinje
Konkrete eksempler
Filialkontor med sårbar VPN-router
En dansk virksomhed med flere filialer bruger GL-MT3000 til at oprette VPN-forbindelser mellem kontorerne. Administrationsgrænsefladen er ved en fejl tilgængelig fra internettet. En angriber finder enheden, udnytter Hostname-parameteren til at afvikle kommandoer på routeren og får dermed adgang til trafikken mellem filialen og hovedkontoret uden at nogen medarbejder har gjort noget forkert.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Log ind på routerens administrationsgrænseflade og tjek firmwareversionen. Er den GL-MT3000 med firmware 4.4.5 eller ældre, er den ramt af sårbarheden.
Kan vi vente til der kommer en officiel opdatering?
Kun hvis routerens administrationsgrænseflade allerede er fuldt afskærmet fra internettet og eksterne netværk. Er den tilgængelig udefra, bør I lukke den ned nu, da en metode til udnyttelse allerede er offentligt kendt.
Er sårbarheden allerede udnyttet i angreb mod danske virksomheder?
Der er ingen bekræftede rapporter om aktiv udnyttelse endnu. Men da detaljerne er offentliggjort, kan det ændre sig hurtigt, og I bør handle på baggrund af risikoen, ikke kun på baggrund af kendte angreb.
Hvad skal vi gøre, hvis vi ikke kan lukke administrationsgrænsefladen ned?
Sæt strenge firewallregler op, så kun bestemte, betroede IP-adresser kan nå routerens webgrænseflade og cgi-bin-tjeneste. Overvåg samtidig for usædvanlig trafik.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at data eller systemer er blevet kompromitteret. Er der tale om en forebyggende afskærmning uden konstateret misbrug, er en anmeldelse ikke nødvendig.
Påvirker sårbarheden andre GL.iNet-modeller end GL-MT3000?
NVD-beskrivelsen nævner kun GL-MT3000 op til version 4.4.5. Har I andre GL.iNet-modeller, bør I holde øje med leverandørens meddelelser for at se, om de også er berørt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in GL.iNet GL-MT3000 up to 4.4.5. Affected is the function ovpn-client.get_recommend_config of the file /cgi-bin/glc of the component ovpn-client.so Native Plugin. Executing a manipulation of the argument Hostname can lead to command injection. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.