CVE-2026-19977: Kritisk login-fejl i ipTIME A3004T-router
Kritisk fejl i ipTIME A3004T-router lader angribere omgå login helt uden adgangskode. Isolér styringen af routeren nu.
Hvad er det?
CVE-2026-19977 er en fejl i routeren ipTIME A3004T fra producenten EFM, version 14.19.0. Fejlen sidder i funktionen httpcon_check_session_url, som skal kontrollere, om en bruger er logget ind, før den giver adgang til styringen af routeren (session validation). Fejlen betyder, at kontrollen kan omgås, så en angriber kan udgive sig for at være logget ind uden at kende noget kodeord. Det kaldes en autentificeringsfejl (CWE-287): systemet tror fejlagtigt, at en anmodning er godkendt.
Hvem rammer det?
Det rammer virksomheder og organisationer, der bruger en ipTIME A3004T-router med firmware 14.19.0, og hvor routerens styringsside (web-administration) kan nås fra internettet eller fra et netværk, angriberen allerede har fodfæste i. Det gælder både kontornetværk og produktionsnetværk, hvor routeren bruges til at dele internetforbindelse eller styre trafik.
Hvad kan ske?
En angriber, der kan nå routerens styringsside, kan uden login få fuld kontrol over routeren. Det kan bruges til at ændre DNS-indstillinger og dermed lede medarbejdernes trafik om til falske sider, til at åbne porte ind til det interne netværk, eller til at aflytte og manipulere al trafik, der går gennem routeren. For en dansk virksomhed betyder det i praksis, at en enkelt sårbar router kan blive indgangen til resten af netværket.
Hvor alvorligt er det?
Sårbarheden har den højeste CVSS-score, 10 ud af 10. Angrebet kræver ingen adgangskode, intet login og ingen handling fra en medarbejder. Det kan udføres fra internettet, hvis styringssiden er tilgængelig udenfra. Der findes offentligt en fungerende metode til at udnytte fejlen (proof of concept), men vi har ikke set bekræftede angreb i drift på tidspunktet for offentliggørelsen. Producenten er kontaktet, men har ikke reageret, og der findes ikke en opdatering, der lukker hullet.
Hvad gør jeg nu?
Der findes ingen officiel opdatering, så I skal begrænse adgangen til routeren med det samme.
- Sluk for fjernadministration (remote management) af routeren, så styringssiden kun kan nås fra det interne netværk, ikke fra internettet.
- Begræns adgang til styringssiden med en firewall-regel, så kun bestemte interne IP-adresser eller administratorers udstyr kan nå den.
- Skift alle adgangskoder på routeren og på andet udstyr, der er styret via samme netværk, som en ekstra sikkerhed, selv om fejlen ikke kræver kodeord.
- Undersøg om routeren kan udskiftes med en model, hvor producenten aktivt understøtter sikkerhedsopdateringer.
- Overvåg routerens logfiler for uventede login eller ændringer i indstillinger, især DNS og portvideresendelse.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om styringssiden er eksponeret, eller hvis I mangler ressourcer til at udskifte udstyret hurtigt.
Afskærm styringssiden i dag
Vi anbefaler, at I straks fjerner routerens styringsside fra internettet og begrænser adgangen til det interne netværk, da producenten ikke har udsendt en opdatering. Det er ikke forsvarligt at vente til en fast opdateringsrunde, fordi angrebet kan udføres uden login og der findes en offentlig metode til at udnytte fejlen. Hvis routeren er kritisk for driften og ikke kan isoleres tilstrækkeligt, anbefaler vi at planlægge udskiftning til udstyr med aktiv producentsupport.
Tidslinje
Konkrete eksempler
Fjernstyret router hos en mindre dansk virksomhed
En mindre virksomhed har opsat fjernadgang til deres ipTIME A3004T-router, så it-leverandøren kan servicere den udefra. En angriber, der scanner internettet for åbne styringssider, finder routeren og udnytter fejlen uden at logge ind. Angriberen ændrer DNS-indstillingerne, så medarbejdernes browsere sendes til falske login-sider, hvorefter virksomhedens kodeord til mail og økonomisystem bliver stjålet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare router?
Log ind på jeres netværksudstyr og se producent og modelnavn. Er det en ipTIME A3004T, tjek firmwareversionen i styringssiden. Er versionen 14.19.0, er I ramt af sårbarheden.
Kan vi vente til efter weekenden med at reagere?
Nej, ikke hvis styringssiden er tilgængelig fra internettet. Fejlen kan udnyttes uden login, og der findes en offentligt kendt metode til at gøre det, så vi anbefaler at afskærme adgangen samme dag, som I opdager den.
Er der en opdatering fra producenten på vej?
Det er ikke oplyst. Producenten EFM er kontaktet om fejlen, men har ikke svaret, og der er på tidspunktet for offentliggørelsen ingen bekræftet opdatering, der lukker hullet.
Kan vi bare skifte adgangskode i stedet?
Nej. Fejlen omgår selve login-kontrollen, så en ny adgangskode stopper ikke angrebet. I skal begrænse eller lukke adgangen til styringssiden fra internettet.
Skal vi anmelde dette til myndighederne?
Det er relevant, hvis I opdager tegn på, at routeren faktisk er blevet kompromitteret, og der er sket adgang til personoplysninger eller andre systemer. Kontakt jeres it-sikkerhedsrådgiver for at vurdere, om der er anmeldepligt efter databeskyttelsesreglerne.
Rammer sårbarheden også andre ipTIME-modeller?
NVD-beskrivelsen nævner kun ipTIME A3004T version 14.19.0. Har I andre ipTIME-modeller, bør I alligevel kontrollere firmwareversion og begrænse fjernadgang til styringssiden som en generel forholdsregel.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in EFM ipTIME A3004T 14.19.0. The affected element is the function httpcon_check_session_url of the component Session Validation. Performing a manipulation results in improper authentication. Remote exploitation of the attack is possible. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.