CVE-2026-75094: Kommandoinjektion i COMFAST CF-N1-S router
Kritisk sikkerhedshul i COMFAST CF-N1-S lader en administrator-bruger køre systemkommandoer. Isolér enheden og skift kodeord nu.
Hvad er det?
Sårbarheden er en kommandoinjektion (CWE-78), hvor styresystemet på enheden udfører kommandoer, som en angriber sender ind som almindelig data. Fejlen sidder i funktionen sub_44B438 i CGI-grænsefladen, konkret i endpointet /cgi-bin/mbox-config, når parameteren ssid behandles ved kald til ptest_ssid. Ved at putte styresystemkommandoer ind i ssid-feltet kan man få routeren til at udføre dem direkte, i stedet for blot at gemme et netværksnavn.
Hvem rammer det?
Sårbarheden rammer COMFAST CF-N1-S i firmwareversion 2.6.0.1. Enheden er en trådløs access point/router, der ofte bruges af mindre virksomheder, foreninger og installatører til gæstenetværk eller lokale trådløse netværk. Er I i tvivl om, hvilken model og firmwareversion I kører, kan I finde det i enhedens webadministration under systeminfo.
Hvad kan ske?
En angriber, der har administratoradgang til enhedens webgrænseflade, kan sende en manipuleret ssid-værdi og derved få enheden til at udføre vilkårlige kommandoer, ofte med de højeste rettigheder på enheden. I praksis betyder det, at angriberen kan overtage routeren fuldstændigt, aflæse og omdirigere netværkstrafik, oprette en fast bagdør og bruge enheden som springbræt ind i jeres øvrige netværk.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver netværksadgang, men ingen handling fra andre brugere (UI:N), og kompleksiteten er lav. Til gengæld kræver det, at angriberen allerede har høj privilegering (PR:H), altså administratoradgang til enhedens webgrænseflade. Da mange af disse enheder stadig kører med standardkodeord eller svagt beskyttede adminpaneler, er den barriere ofte lettere at komme forbi, end scoren umiddelbart antyder. Fortrolighed, integritet og tilgængelighed er alle ramt i højeste grad, og der findes en offentliggjort udnyttelse af fejlen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I venter på en fast løsning:
- Skift straks standardkodeordet til enhedens administrationspanel, og fjern eventuel fjernadgang til webgrænsefladen fra internettet.
- Undersøg hos COMFAST, om der findes en firmwareopdatering nyere end 2.6.0.1, og installer den, så snart den er tilgængelig.
- Bloker eller begræns adgang til /cgi-bin/mbox-config, så kun betroede administratorer på et afgrænset netværk kan tilgå det.
- Segmentér enheden på et separat VLAN, så den ikke har direkte adgang til jeres øvrige interne systemer.
- Gennemgå logfiler for usædvanlige kald til mbox-config med henblik på tegn på misbrug.
- Har I ikke selv ressourcerne til at gennemføre segmentering eller vurdere om enheden allerede er kompromitteret, så bør I søge hjælp hos en sikkerhedspartner.
Isolér og sikr adgang inden få dage
Vi anbefaler, at I straks skifter administratoradgangskoden på enheden og fjerner eventuel eksponering af webgrænsefladen til internettet, da det er den mest effektive spærring mod udnyttelse. Er enheden allerede afskærmet bag et sikkert internt netværk med stærkt adgangskodekrav, kan I vente på en officiel firmwareopdatering fra COMFAST, men bør ikke lade administrationsadgangen stå åben i mellemtiden.
Tidslinje
Konkrete eksempler
Gæstenetværk hos en mindre dansk virksomhed
En mindre virksomhed bruger en COMFAST CF-N1-S til gæstenetværket i receptionen, og administrationspanelet kører stadig med standardkodeordet. En besøgende med teknisk kendskab logger ind på administrationssiden, sender en manipuleret ssid-værdi til mbox-config-endpointet og får dermed kommandoudførsel på enheden. Herfra får personen adgang til det interne netværk bag receptionen, som ikke var korrekt segmenteret fra gæstenetværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I anvender en COMFAST CF-N1-S med firmwareversion 2.6.0.1. Tjek modelnavn og firmwareversion i enhedens webadministration under systeminfo.
Kræver det, at angriberen allerede har adgang til vores netværk?
Angriberen skal have administratoradgang til enhedens webgrænseflade, men behøver ikke fysisk adgang til jeres kontor. Hvis administrationspanelet er tilgængeligt fra internettet, eller hvis standardkodeordet ikke er ændret, er barrieren lav.
Kan vi vente til weekenden med at reagere?
Nej, ikke hvis administrationsgrænsefladen er tilgængelig udefra. Da der findes en offentliggjort udnyttelse, bør adgangen begrænses samme dag I opdager problemet, mens en fast firmwareopdatering findes.
Hvordan tjekker vi, om enheden allerede er kompromitteret?
Se efter uventede ændringer i konfigurationen, ukendte administratorbrugere, usædvanlig trafik til /cgi-bin/mbox-config i logfiler, eller uventet netværksadfærd fra enheden. Er I i tvivl, bør I få en sikkerhedspartner til at gennemgå enheden.
Skal vi anmelde dette til myndighederne?
Kun hvis I konstaterer, at der faktisk er sket et databrud eller uautoriseret adgang til persondata, og i så fald skal det anmeldes til Datatilsynet inden 72 timer. Selve sårbarheden i sig selv udløser ikke en anmeldelsespligt.
Findes der en officiel opdatering fra COMFAST?
Der er ikke oplyst en fast opdatering på offentliggørelsestidspunktet. Følg COMFASTs supportkanaler, og indfør i mellemtiden de netværksmæssige afskærmninger, vi beskriver ovenfor.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in COMFAST CF-N1-S 2.6.0.1. This impacts the function sub_44B438 of the file /cgi-bin/mbox-config?method=SET§ion=ptest_ssid of the component CGI Interface. This manipulation of the argument ssid causes os command injection. Remote exploitation of the attack is possible. The exploit has been published and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.