CVE-2026-76004: Kritisk fejl i UTT HiPER 1250GW router
Kritisk sårbarhed i UTT HiPER 1250GW routere gør det muligt at overtage enheden fjernt. Afskær fjernadgang til administrationen nu.
Hvad er det?
CVE-2026-76004 er en sårbarhed i routeren UTT HiPER 1250GW, i alle versioner til og med 3.2.7-210907-180535. Fejlen ligger i funktionen strcpy i filen /goform/aspApBasicConfigUrcp, som er en del af routerens webbaserede administrationsgrænseflade. Ved at manipulere parameteren pvid kan en angriber skabe et stakbaseret bufferoverløb, det vil sige at data skrives ud over den plads, hukommelsen har afsat, så angriberen kan overskrive kontroldata og få egen kode til at køre på enheden. Angrebet kan udføres over netværket og kræver kun et lavt privilegeret login, ikke administratorrettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder, kommuner og institutioner, der bruger UTT HiPER 1250GW som router eller firewall, i firmwareversioner til og med 3.2.7-210907-180535. Det gælder især enheder, hvor webadministrationen er tilgængelig fra internettet eller fra et bredt internt netsegment.
Hvad kan ske?
En angriber med et almindeligt, lavt privilegeret login til routerens webgrænseflade kan sende en manipuleret forespørgsel til aspApBasicConfigUrcp og udnytte bufferoverløbet til at få routerens processor til at afvikle vilkårlig kode. Det giver reelt fuld kontrol over enheden: angriberen kan aflytte og omdirigere trafik, ændre firewallregler, oprette skjulte adgange og bruge routeren som springbræt ind i virksomhedens interne netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun et lavt privilegeret login, ikke administratorrettigheder, og ingen brugerinteraktion, og kan udføres over netværket. Konsekvensen rammer fuldt ud både fortrolighed, integritet og tilgængelighed af enheden. En proof of concept, altså en offentliggjort demonstration af angrebet, er allerede publiceret, hvilket gør det let for andre at genskabe angrebet.
Hvad gør jeg nu?
Der findes ikke på nuværende offentliggjorte oplysninger nogen officiel rettelse fra producenten. Derfor handler det først og fremmest om at begrænse adgangen til enheden.
- Fjern al adgang til routerens webadministration fra internettet, og begræns adgangen internt til et afgrænset administrationsnet.
- Skift alle adgangskoder til enheden, inklusive lavt privilegerede konti, da et almindeligt login er nok til at udnytte fejlen.
- Kontakt UTT eller jeres leverandør for at høre, om der findes eller er på vej en opdateret firmware.
- Overvåg logfiler for uventede forespørgsler mod /goform/aspApBasicConfigUrcp eller andre unormale ændringer i konfigurationen.
- Overvej at udskifte enheden med en understøttet model, hvis producenten ikke leverer en rettelse inden for rimelig tid.
- Er I i tvivl om, hvordan I afskærmer enheden korrekt uden at miste funktionalitet, så få hjælp fra en sikkerhedsrådgiver eller jeres it-leverandør.
Luk fjernadgang til enheden i dag
Vi anbefaler, at I straks lukker al fjernadgang til administrationen på UTT HiPER 1250GW og skifter adgangskoder, da der endnu ikke findes en officiel rettelse. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, fordi en fungerende udnyttelse allerede er offentliggjort. Har I ikke mulighed for at afskærme enheden helt, bør I kontakte os eller jeres it-leverandør for at få hjælp til en midlertidig løsning.
Tidslinje
Konkrete eksempler
Kompromitteret router i mindre virksomhed
En dansk håndværksvirksomhed bruger en UTT HiPER 1250GW som firewall og har administrationen tilgængelig fra internettet af hensyn til fjernsupport. En angriber udnytter et lavt privilegeret medarbejderlogin til at sende en manipuleret forespørgsel og får fuld kontrol over routeren. Herfra omdirigerer angriberen trafik og får adgang til virksomhedens interne fildeling.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I bruger en UTT HiPER 1250GW router eller firewall med en firmwareversion til og med 3.2.7-210907-180535. Tjek versionsnummeret i enhedens administrationsside eller kontakt jeres it-leverandør.
Hvordan tjekker vi, om enheden er blevet udnyttet?
Gennemgå routerens logfiler for usædvanlige forespørgsler mod /goform/aspApBasicConfigUrcp, uventede genstart af enheden eller ændringer i konfigurationen, som I ikke selv har lavet.
Kan vi vente med at reagere til efter weekenden?
Det frarådes. En offentliggjort proof of concept betyder, at angrebet kan gennemføres af mange, uden at de selv skal udvikle det. Afskær fjernadgang nu, og vent med resten af oprydningen til I har haft tid til det.
Findes der en opdatering fra producenten?
Der er ikke på offentliggørelsestidspunktet dokumentation for en officiel rettelse fra UTT. Vi anbefaler, at I kontakter producenten eller jeres leverandør direkte for status.
Skal vi anmelde hændelsen til myndighederne?
Hvis I konstaterer tegn på faktisk kompromittering, for eksempel uautoriseret adgang eller ændret trafik, bør I vurdere anmeldelse til Center for Cybersikkerhed og eventuelt Datatilsynet, hvis persondata er berørt.
Kan vi bare lukke porten i stedet for at opdatere?
At lukke fjernadgang til webadministrationen er en gyldig midlertidig løsning, men det løser ikke sårbarheden internt. Angribere med adgang til det interne netværk kan stadig udnytte fejlen, så begræns også intern adgang til administrationsgrænsefladen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in UTT HiPER 1250GW up to 3.2.7-210907-180535. Affected by this vulnerability is the function strcpy of the file /goform/aspApBasicConfigUrcp of the component HTTP Handler. The manipulation of the argument pvid leads to stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.