CVE-2026-18614: Kommandoinjektion i GL-iNet GL-MT3000
Kritisk sårbarhed i GL-iNet GL-MT3000 giver angribere fuld kontrol uden login. Isolér routeren, til en rettelse findes.
Hvad er det?
CVE-2026-18614 er en sårbarhed i GL-iNet GL-MT3000, en rejserouter der ofte bruges til fjernarbejde og VPN-forbindelser. Fejlen sidder i funktionen s2s.enable_echo_server i filen /cgi-bin/glc, som er en del af komponenten s2s.so. Ved at manipulere parameteren port kan en angriber udføre det, man kalder kommandoinjektion: at sende styresystemkommandoer ind gennem et felt, der kun burde tage et portnummer. Kommandoerne udføres direkte på routerens styresystem med de rettigheder, webgrænsefladen har, typisk fuld administratoradgang.
Hvem rammer det?
Sårbarheden rammer alle, der bruger GL-iNet GL-MT3000 (Beryl AX) med firmware op til og med version 4.4.5. Routeren bruges ofte af danske virksomheder til fjernarbejde, som rejserouter for medarbejdere, eller som netværksadgang på filialkontorer og pop-up-lokationer. Er administrationsgrænsefladen tilgængelig fra internettet, eller er fjernstyring aktiveret, er enheden udsat.
Hvad kan ske?
En angriber, der kan nå routerens webgrænseflade, kan uden at logge ind sende kommandoer, der køres direkte på routerens styresystem. I praksis kan angriberen overtage routeren fuldstændigt: læse og omdirigere netværkstrafik, oprette bagdøre eller bruge routeren som springbræt ind i virksomhedens interne netværk. For en dansk virksomhed, der bruger routeren til fjernarbejde eller VPN, kan det åbne direkte adgang til interne systemer og data.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen brugerhandling (UI:N), og det kan udføres over netværket (AV:N) med lav kompleksitet (AC:L). Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed. Der findes offentliggjort kode, der demonstrerer angrebet, men vi har ikke belæg for, at det aktivt bliver udnyttet mod danske virksomheder pr. offentliggørelsesdatoen.
Hvad gør jeg nu?
Der er endnu ikke udgivet en officiel rettelse fra GL-iNet. Indtil den findes, skal I begrænse eksponeringen af routeren.
- Sørg for, at routerens administrationsgrænseflade og s2s-funktionen (/cgi-bin/glc) ikke kan nås fra internettet, kun fra det interne netværk. Dette lukker den mest direkte angrebsvej.
- Deaktivér funktionen s2s.enable_echo_server, hvis den ikke er nødvendig for jeres brug.
- Tjek firmwareversion på alle GL-MT3000-enheder og følg GL-iNets opdateringer, opgrader så snart en rettet version udkommer.
- Begræns adgang til routerens administrationsside med IP-filtrering eller VPN, så kun betroede enheder kan tilgå den.
- Gennemgå logs for usædvanlig trafik mod /cgi-bin/glc eller uventede kommandoudførelser.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afklare, om jeres opsætning er eksponeret, eller hvis I finder tegn på misbrug.
Isolér routeren fra internettet nu
Vi anbefaler, at I straks tjekker, om jeres GL-iNet GL-MT3000-routere har administrationsgrænsefladen eksponeret mod internettet, og lukker den, hvis det er tilfældet. Da der endnu ikke findes en officiel rettelse, er isolering fra internettet den mest effektive beskyttelse, indtil GL-iNet udgiver en opdateret firmware. Det er kun forsvarligt at vente, hvis routeren allerede er afskærmet bag firewall og ikke tilgængelig udefra.
Tidslinje
Konkrete eksempler
Rejserouter med åben administration
En dansk konsulentvirksomhed udstyrer medarbejdere med GL-iNet GL-MT3000 som rejserouter til VPN-forbindelse ind til kontoret. En medarbejder har aktiveret fjernadgang til routerens administrationsside for selv at kunne fejlsøge hjemmefra. En angriber, der scanner internettet for åbne administrationsgrænseflader, finder enheden, udnytter kommandoinjektionen uden at logge ind, og får dermed adgang til det VPN-tunnel, routeren opretter til virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en GL-iNet GL-MT3000 (Beryl AX) med firmware version 4.4.5 eller ældre. Tjek modelnavn og firmwareversion i routerens administrationsside eller på mærkatet under enheden.
Hvordan tjekker vi, om routeren er eksponeret mod internettet?
Tjek, om administrationsgrænsefladen kan nås via en offentlig IP-adresse, og om der er sat portviderestilling eller fjernstyring op i routerens indstillinger. Er I i tvivl, kan I bede en teknisk rådgiver scanne jeres offentlige IP for åbne porte.
Kan vi vente til weekenden med at reagere?
Det kan vi ikke anbefale, hvis routeren er tilgængelig fra internettet. Angrebet kræver ingen login og ingen brugerhandling, og kode til at udnytte fejlen er allerede offentliggjort, så eksponerede enheder er sårbare med det samme.
Findes der en opdatering, vi kan installere?
Der er pr. offentliggørelsesdatoen ikke en officiel rettelse fra GL-iNet. Hold øje med leverandørens hjemmeside og installer en opdateret firmware, så snart den udkommer.
Kan vi bare slukke for fjernadgang og vente på en rettelse?
Ja, det er den anbefalede løsning lige nu. Fjern administrationsgrænsefladen fra internettet, og deaktivér s2s.enable_echo_server-funktionen, hvis den ikke bruges. Så er I beskyttet, indtil der findes en officiel opdatering.
Skal vi anmelde dette som en sikkerhedshændelse?
Kun hvis I finder konkrete tegn på, at routeren er blevet kompromitteret, og at det har medført adgang til persondata. I så fald skal I vurdere anmeldepligt efter databeskyttelsesreglerne. Er der ikke tegn på misbrug, er det tilstrækkeligt at lukke sårbarheden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in GL-iNet GL-MT3000 up to 4.4.5. Impacted is the function s2s.enable_echo_server of the file /cgi-bin/glc of the component s2s.so Native Plugin. Performing a manipulation of the argument port results in command injection. The attack may be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.