CVE-2026-76003: Kritisk fejl i UTT HiPER 1200GW-router
Alvorlig fejl i UTT HiPER 1200GW-routere kan give en angriber fuld kontrol. Ingen opdatering findes, isolér enheden nu.
Hvad er det?
Der er fundet en sårbarhed i routeren UTT HiPER 1200GW i alle versioner til og med 2.5.3-170306 (CVE-2026-76003). Fejlen findes i funktionen strcpy i filen /goform/formGroupConfig, som håndterer parameteren timestart. Når parameteren ikke tjekkes ordentligt, kan den fylde mere data i hukommelsen, end der er plads til. Det kaldes et stackbaseret bufferoverløb: data skriver ud over sin afsatte plads i hukommelsen og kan overskrive kontrolinformation, så en angriber kan få routeren til at køre vilkårlig kode. Angrebet kan udføres over netværket, og der findes offentligt tilgængelig kode til at udnytte fejlen.
Hvem rammer det?
Sårbarheden rammer alle, der bruger UTT HiPER 1200GW med firmware op til og med version 2.5.3-170306. Routeren bruges ofte som VPN-gateway og netværksgateway hos mindre virksomheder og filialkontorer. Hvis administrationsgrænsefladen eller VPN-funktionen er tilgængelig fra internettet, er risikoen størst.
Hvad kan ske?
En angriber med en lav-privilegeret konto på routeren, for eksempel en almindelig VPN-brugerkonto, kan udnytte fejlen til at overtage routeren fuldstændigt. Herfra kan trafik omdirigeres, kryptering af VPN-forbindelser brydes, og angriberen kan bruge routeren som springbræt ind i virksomhedens interne netværk. Fordi sårbarheden ændrer omfanget af adgangen (scope changed), kan konsekvenserne række ud over selve routeren og påvirke andre systemer bag den.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at nogen klikker på noget eller udfører en handling, og det kan ske over netværket med lav kompleksitet. Der kræves dog en lav-privilegeret konto på enheden, så en fuldstændig anonym angriber uden nogen adgang kan ikke udnytte fejlen direkte. Der findes offentligt tilgængelig kode til at udnytte sårbarheden, men det er ikke bekræftet, at den bliver udnyttet i aktive angreb på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Der findes ingen kendt opdatering fra producenten på tidspunktet for offentliggørelsen. Følg disse trin:
- Fjern administrationsgrænsefladen og formGroupConfig-funktionen fra direkte adgang fra internettet, brug i stedet en lukket administrationsforbindelse.
- Gennemgå alle lav-privilegerede konti på routeren, luk konti der ikke er i brug, og skift adgangskoder på de resterende.
- Undersøg om producenten har udgivet en nyere firmwareversion, og opdatér til denne så snart den findes.
- Overvåg logfiler for usædvanlig trafik til /goform/formGroupConfig og andre administrationsendepunkter.
- Hvis routeren ikke kan isoleres tilstrækkeligt eller ikke opdateres, bør den udskiftes med en enhed, der understøttes aktivt.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I er i tvivl om, hvorvidt jeres opsætning er tilstrækkeligt beskyttet.
Begræns adgang senest i dag
Vi anbefaler, at I straks begrænser adgangen til administrationsgrænsefladen på UTT HiPER 1200GW, da der ikke findes en opdatering, og angrebskode er offentligt tilgængelig. Det er ikke forsvarligt at vente, hvis routeren er tilgængelig fra internettet. Er enheden allerede isoleret bag en anden firewall uden ekstern adgang, kan I afvente en eventuel firmwareopdatering, men bør stadig planlægge udskiftning på sigt.
Tidslinje
Konkrete eksempler
VPN-gateway hos en dansk håndværksvirksomhed
En mindre dansk virksomhed bruger en UTT HiPER 1200GW som VPN-gateway, så medarbejdere kan logge på fra hjemmekontor. En angriber, der får fat i en almindelig medarbejderkonto til VPN-adgang, udnytter fejlen i formGroupConfig til at overtage routeren. Herfra får angriberen adgang til virksomhedens interne netværk og kan læse trafik samt bevæge sig videre til andre systemer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en UTT HiPER 1200GW-router med firmware op til og med version 2.5.3-170306. Tjek firmwareversionen i routerens administrationsgrænseflade.
Hvordan tjekker vi, om routeren er sårbar?
Log ind på routerens administrationsside og se firmwareversionen under systemoplysninger. Er versionen 2.5.3-170306 eller ældre, er den sårbar.
Kan vi vente til weekenden med at gøre noget?
Nej. Der findes offentligt tilgængelig kode til at udnytte fejlen, og der er ingen opdatering fra producenten. Begræns adgangen til administrationsgrænsefladen med det samme.
Findes der en opdatering, der lukker hullet?
Der er ikke registreret nogen opdatering fra producenten på tidspunktet for offentliggørelsen. Tjek producentens hjemmeside jævnligt for nyt firmware.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at fejlen faktisk er blevet udnyttet, og persondata er blevet kompromitteret. I så fald skal I vurdere anmeldelsespligt over for Datatilsynet.
Hvad gør vi, hvis vi ikke kan udskifte routeren med det samme?
Sørg for, at administrationsgrænsefladen og VPN-funktionen kun er tilgængelig fra betroede interne netværk, luk unødvendige konti, og overvåg trafikken tæt, indtil enheden kan udskiftes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in UTT HiPER 1200GW up to 2.5.3-170306. Affected is the function strcpy of the file /goform/formGroupConfig. Executing a manipulation of the argument timestart can lead to stack-based buffer overflow. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.