CVE-2026-71960: Kritisk fejl i Cudy WR3000-router
Cudy WR3000-routere har en indbygget hemmelighed i firmwaren, der lader angribere forfalske adgangsnøgler uden login. Opdatér til firmware 2.5.24.
Hvad er det?
CVE-2026-71960 er en sårbarhed i Cudy WR3000 2.0-routere, hvor en hemmelig nøgle til at signere JWT-tokens, en form for digital adgangsbillet, ligger fast indbygget i firmwaren. Nøglen bruges af MQTT-broker Mosquitto, et program der styrer beskeder mellem enheder i routerens mesh-netværk, en type netværk hvor flere routere deler dækning. Fordi nøglen kan udtrækkes direkte fra firmware-filen, kan en angriber selv skabe gyldige adgangsbilletter og logge ind på MQTT-brokeren uden brugernavn eller adgangskode.
Hvem rammer det?
Sårbarheden rammer Cudy WR3000 2.0-routere med firmware før version 2.5.24. Det gælder både private og virksomheder, der bruger enheden til at etablere mesh-netværk, altså flere routere der sammen dækker et større område med wifi.
Hvad kan ske?
En angriber, der kan udtrække nøglen fra en offentligt tilgængelig firmware-fil, kan skabe sine egne adgangsbilletter og logge ind på routerens MQTT-styringssystem uden legitime oplysninger. Herfra kan angriberen læse og ændre konfigurationsdata i mesh-netværket, hvilket i praksis giver uautoriseret kontrol over dele af netværksinfrastrukturen. Der er ikke belæg for, at angrebet kan lukke netværket ned, men fortrolighed og integritet af data er i høj risiko.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, og kan udføres over netværket med lav kompleksitet. Konsekvensen er høj risiko for at fortrolige data læses og manipuleres, mens der ikke er risiko for, at systemet lukkes ned. NVD-data indeholder ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb.
Hvad gør jeg nu?
Følgende handlinger lukker hullet og reducerer risikoen, i prioriteret rækkefølge:
- Opdatér firmware på alle Cudy WR3000 2.0-enheder til version 2.5.24 eller nyere, hvor den hårdkodede nøgle er fjernet.
- Kortlæg, hvor mange enheder af denne model I har i drift, og om de er tilgængelige fra internettet.
- Begræns adgang til MQTT-brokerens port fra internet og eksterne netværk, indtil opdateringen er gennemført.
- Gennemgå logs for uventet MQTT-trafik eller ukendte adgangsforsøg efter opdateringen.
- Isolér mesh-netværksenheder fra kritiske systemer, hvis segmentering ikke allerede er på plads.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan bekræfte, at alle enheder er opdateret, eller hvis I finder tegn på misbrug.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer alle Cudy WR3000 2.0-routere til firmware 2.5.24 snarest, da fejlen kræver hverken login eller brugerhandling og kan udnyttes af enhver, der kan hente firmwaren. Det er kun forsvarligt at vente, hvis enhederne er fuldt isoleret fra internettet og fra øvrige interne netværk, indtil opdateringen kan planlægges.
Tidslinje
Konkrete eksempler
Mesh-netværk i en dansk virksomhed
En mindre dansk virksomhed bruger flere Cudy WR3000-routere til at dække kontorlokaler med wifi via mesh-netværk. En angriber henter firmwarefilen fra producentens hjemmeside, udtrækker den indbyggede nøgle og opretter en gyldig adgangsbillet til MQTT-brokeren. Herfra får angriberen indblik i og mulighed for at ændre netværkskonfigurationen, uden at nogen medarbejder har klikket på noget eller delt en adgangskode.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger en sårbar Cudy WR3000?
Tjek routerens firmwareversion i administrationspanelet. Er versionen ældre end 2.5.24, er enheden sårbar, og I bør opdatere.
Kan vi vente med opdateringen til en planlagt vedligeholdelsesuge?
Det afhænger af, om routeren og dens MQTT-broker er tilgængelig fra internettet. Er den det, bør opdateringen prioriteres nu, da angrebet ikke kræver login. Er enheden fuldt isoleret internt, kan I vente kortvarigt, men bør stadig planlægge opdateringen snarest.
Er sårbarheden udnyttet i praksis?
NVD-data indeholder ingen oplysninger om aktiv udnyttelse på offentliggørelsestidspunktet. Fordi nøglen kan udtrækkes direkte fra firmwaren, vurderer vi dog, at det kræver begrænset teknisk indsats at udnytte den.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I konstaterer, at nogen har fået uautoriseret adgang og misbrugt den til at få fat i persondata eller forretningskritiske oplysninger, kan I være forpligtet til at anmelde det til Datatilsynet. Kontakt jeres sikkerhedsrådgiver for en konkret vurdering.
Hjælper det at skifte adgangskoder, hvis vi ikke kan opdatere firmware med det samme?
Nej. Problemet ligger i en fast indbygget nøgle i firmwaren, ikke i brugeroplysninger. Det eneste, der lukker hullet, er at opdatere til firmware 2.5.24 eller nyere.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Cudy WR3000 2.0 running firmware before 2.5.24 contains a hard-coded JWT HMAC signing secret vulnerability in the Mosquitto MQTT broker’s authentication plugin that allows unauthenticated attackers to forge valid JWT tokens by extracting the secret from the firmware image. Attackers can use the extracted secret to craft arbitrary JWT tokens and authenticate to the MQTT broker without legitimate credentials, gaining unauthorized access to the device’s mesh networking interface.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.