CVE-2026-75976: Kritisk fejl i TRENDnet TEW-823DRU-router
Kritisk fejl i TRENDnet TEW-823DRU-routere giver angribere fuld kontrol. Ingen opdatering findes, og angrebskode er offentlig.
Hvad er det?
Sårbarheden findes i routeren TRENDnet TEW-823DRU, firmwareversion 1.1.02b01 (CVE-2026-75976). Fejlen sidder i funktionen strcpy i filen /cgi-bin/wan.cgi, som håndterer routerens VPN-indstillinger. Når feltet wan_l2tp_password modtager en for lang værdi, overskrives hukommelse på programmets stak. Det kaldes et stack-based buffer overflow: en type fejl hvor for meget data skrives ind i et fast afgrænset hukommelsesområde, så programmets kontrolflow kan overtages. Fejlen kan udløses over netværket, og en offentligt tilgængelig angrebskode findes allerede.
Hvem rammer det?
Sårbarheden rammer TRENDnet TEW-823DRU med firmware 1.1.02b01. Modellen bruges typisk som privat router eller som billig netværksenhed i mindre virksomheder og filialkontorer, blandt andet til VPN-forbindelser via L2TP. Er routeren en del af jeres netværk eller bruges den af en medarbejder på hjemmekontor, er den berørt.
Hvad kan ske?
En angriber, der udnytter fejlen, kan overtage routeren og køre vilkårlig kode på den. Det giver mulighed for at aflytte og omdirigere internettrafik, ændre DNS-opsætning, oprette en fast bagdør ind i netværket eller bruge routeren som springbræt videre ind til interne systemer og servere. For en dansk virksomhed betyder det i praksis, at en enhed i netværkets yderkant kan blive udgangspunkt for et større indbrud.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerhandling fra nogen på netværket, men kræver et lavt niveau af adgang, for eksempel gyldigt login til routerens webgrænseflade eller adgang til det lokale netværk. Der er ikke rapporteret aktiv udnyttelse i naturen, men angrebskoden er offentligt tilgængelig, hvilket gør det sandsynligt, at det kan ske.
Hvad gør jeg nu?
Vurdér straks om jeres netværk indeholder denne routermodel, og følg herefter disse trin:
- Fjern eller isolér enheden fra internettet, indtil sagen er afklaret. Har routeren en direkte forbindelse til internettet, skal denne lukkes eller flyttes bag en anden firewall.
- Begræns adgang til routerens administrationsside, så den kun kan tilgås fra betroede interne IP-adresser, ikke fra internettet.
- Undersøg om TRENDnet har frigivet en firmwareopdatering til modellen. Er der ingen opdatering, må enheden betragtes som varigt sårbar.
- Skift adgangskoder til routerens administration og til L2TP-VPN-forbindelsen, hvis den er i brug.
- Planlæg udskiftning af routeren med en model, der stadig modtager sikkerhedsopdateringer fra producenten.
- Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om netværkets opbygning, eller hvis routeren ikke kan isoleres uden at afbryde vigtig drift.
Isolér enheden inden for 24 timer
Vi anbefaler, at I straks kortlægger om TRENDnet TEW-823DRU indgår i jeres netværk, og at I isolerer eller udskifter enheden, da der ikke findes en officiel rettelse. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da angrebskoden allerede er offentlig. Er routeren ikke kritisk for driften, bør den tages ud af drift med det samme, mens en erstatning findes.
Tidslinje
Konkrete eksempler
Filialkontor med hjemmekontor-router
En dansk virksomhed har udstyret en medarbejder på hjemmekontor med en TRENDnet TEW-823DRU til at oprette VPN-forbindelse ind til kontorets netværk via L2TP. En angriber, der har fået adgang til routerens administrationsside, udnytter fejlen i wan.cgi til at overtage enheden og bruger den som indgang til virksomhedens interne systemer, uden at medarbejderen bemærker noget usædvanligt.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Tjek routerens administrationsside eller mærkat for modelnavn TEW-823DRU og firmwareversion 1.1.02b01. Er I i tvivl, kan jeres netværksleverandør eller IT-driftspartner slå det op ud fra netværksudstyrets serienummer.
Kan vi vente med at gøre noget til efter weekenden?
Nej. Angrebskoden er allerede offentligt tilgængelig, og der findes ingen opdatering, der lukker hullet. Isolér eller sluk enheden nu, og planlæg udskiftning snarest muligt.
Er der en opdatering fra TRENDnet på vej?
Der er intet oplyst om en kommende opdatering på tidspunktet for offentliggørelsen. Ældre TRENDnet-modeller får ofte ikke længere sikkerhedsopdateringer, og enheden bør derfor betragtes som varigt sårbar.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen handling fra en bruger. Angriberen skal dog have et lavt niveau af adgang, for eksempel login til routerens webgrænseflade eller adgang til det lokale netværk, hvorfra angrebet sendes.
Skal vi anmelde hændelsen til myndighederne?
Er sårbarheden alene identificeret og ikke udnyttet, er der ikke krav om anmeldelse. Ser I tegn på, at routeren allerede er kompromitteret, og persondata eller kritiske systemer kan være berørt, bør I vurdere anmeldepligt efter databeskyttelsesforordningen og kontakte en sikkerhedsrådgiver.
Kan vi bare skifte adgangskode i stedet for at udskifte routeren?
Det løser ikke den grundlæggende fejl, da sårbarheden ligger i selve firmwaren og ikke i adgangskoden. Skift af adgangskode er en god ekstra foranstaltning, men isolering og udskiftning er nødvendig for at lukke hullet permanent.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in TRENDnet TEW-823DRU 1.1.02b01. Impacted is the function strcpy of the file /cgi-bin/wan.cgi of the component NVRAM. This manipulation of the argument wan_l2tp_password causes stack-based buffer overflow. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.