CVE-2026-19348: Kritisk fejl i Aitemi M300 Wi-Fi Repeater
Kritisk sårbarhed i Aitemi M300 Wi-Fi Repeater lader angribere køre systemkommandoer på enheden uden login. Ingen opdatering findes endnu.
Hvad er det?
Sårbarheden findes i firmwaren r0-ea7890a til Shenzhen Aitemi M300 Wi-Fi Repeater, en billig repeater der forstærker et eksisterende wifi-signal. Fejlen sidder i webadministrationens funktion protocol.csp, hvor parametrene enable, name og mac ikke bliver renset for specialtegn, før de bruges i en systemkommando. Det kaldes kommandoinjektion: en angriber kan indsætte sine egne kommandoer i et felt, der egentlig kun skulle indeholde et navn eller en MAC-adresse, og få enheden til at udføre dem med fulde rettigheder. Angrebet kræver ingen adgangskode og kan udføres over netværket, uden at nogen på kontoret klikker på noget.
Hvem rammer det?
Det rammer virksomheder og private, der har en Shenzhen Aitemi M300 Wi-Fi Repeater med firmwareversion r0-ea7890a i drift, typisk som signalforstærker i kontorer, filialer, lagre eller gæstenetværk. Enheden er ikke almindelig i store danske it-miljøer, men bruges ofte i mindre virksomheder til at udvide dækningen billigt uden om den centrale it-afdeling.
Hvad kan ske?
En angriber, der kan sende en forespørgsel til enhedens webinterface, kan få den til at afvikle vilkårlige kommandoer med rod-rettigheder. I praksis betyder det, at angriberen kan overtage repeateren fuldt ud, aflæse eller ændre netværkstrafik, der passerer gennem den, og bruge enheden som springbræt ind i det interne netværk. Er repeateren tilgængelig fra internettet, kan overtagelsen ske helt uden fysisk adgang til kontoret.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Der findes offentligt tilgængelig kode til at udnytte fejlen, så den kan bruges af enhver med adgang til enhedens webinterface, uden at der er bekræftet aktivt misbrug endnu.
Hvad gør jeg nu?
Det vigtigste er at begrænse, hvem der kan nå enhedens webinterface, mens I finder en varig løsning.
- Find ud af om I har en Aitemi M300 Wi-Fi Repeater i netværket, og bekræft firmwareversionen r0-ea7890a.
- Fjern enheden fra internettet, hvis den er tilgængelig udefra, og luk fjernadministration af webinterfacet.
- Flyt enheden til et isoleret gæste- eller VLAN-netværk, så den ikke kan nå følsomme systemer.
- Tjek producentens hjemmeside for en opdateret firmwareversion, og installer den, hvis den findes.
- Findes der ingen opdatering, bør enheden udskiftes med en repeater, der stadig får sikkerhedsopdateringer.
- Hvis I ikke selv kan vurdere, om jeres netværk er eksponeret, bør I få en ekstern gennemgang af netværkets adgangsveje.
Isolér enheden i dag
Vi anbefaler, at I straks fjerner enheden fra internettet og isolerer den på et separat netværk, da der ikke findes en opdatering, og angrebskoden er offentligt tilgængelig. Det er ikke forsvarligt at vente til weekenden, hvis enheden er nået fra internettet eller sidder på et netværk med adgang til følsomme systemer. Er repeateren rent internt og allerede isoleret, kan I vente på en firmwareopdatering, men vi vil samtidig undersøge, om enheden bør udfases.
Tidslinje
Konkrete eksempler
Repeater bliver indgang til kontornetværket
En mindre dansk virksomhed bruger en Aitemi M300 Wi-Fi Repeater til at forbedre wifi-dækningen i en tilbygning. Enheden er tilgængelig fra internettet, fordi en medarbejder engang aktiverede fjernadgang for at kunne administrere den hjemmefra. En angriber finder enheden ved en simpel scanning, udnytter kommandoinjektionen og får rod-adgang, hvorfra vedkommende kan aflytte trafik og forsøge at bevæge sig videre ind i virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger denne enhed?
Se på enhedens mærkat eller administrationsside for modelnavnet Aitemi M300 og firmwareversion r0-ea7890a. En netværksscanning, der lister producentnavn og enhedstype på tilsluttede apparater, kan også afdække det.
Kan vi vente med at gøre noget til weekenden?
Nej, ikke hvis enheden kan nås fra internettet eller sidder på et netværk med adgang til andre systemer. Angrebet kræver ingen adgangskode, og der er offentlig kode til at udnytte fejlen.
Findes der en officiel opdatering?
Der er ikke oplyst en fungerende opdatering fra producenten pr. offentliggørelsesdatoen. Tjek producentens hjemmeside løbende, og planlæg udskiftning, hvis der ikke kommer en firmwareopdatering.
Er vi ramt, hvis enheden kun bruges internt?
Risikoen er lavere, men ikke væk. En angriber, der allerede har fået fodfæste et andet sted i netværket, kan stadig bruge sårbarheden til at overtage enheden og skabe et fast holdepunkt.
Skal vi anmelde noget, hvis vi bliver ramt?
Hvis der er sket et sikkerhedsbrud med adgang til personoplysninger, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler for databrud. Kontakt jeres it-sikkerhedsrådgiver for at afklare om bruddet er omfattet.
Hvordan ved vi, om enheden allerede er kompromitteret?
Se efter uventede ændringer i enhedens konfiguration, nye brugere eller regler, den ikke selv har oprettet, og usædvanlig netværkstrafik fra enhedens ip-adresse. Er I i tvivl, bør enheden nulstilles til fabriksindstilling og undersøges, før den sættes i drift igen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in Shenzhen Aitemi M300 Wi-Fi Repeater r0-ea7890a. Impacted is the function sprintf of the file /protocol.csp?fname=net&opt=smacfilter_conf&function=set&act=add&name=test&enable=1. Performing a manipulation of the argument enable/name/mac results in command injection. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.