CVE-2026-76008: Kritisk fejl i Comfast CF-N1-S router
Kritisk fejl i Comfast CF-N1-S giver angribere fuld kontrol over enheden uden login. Isolér enheden fra internettet i dag.
Hvad er det?
CVE-2026-76008 er en fejl i netværksenheden Comfast CF-N1-S, version 2.6.0.1. Fejlen sidder i funktionen get_para_from_uri i filen /cgi-bin/mbox-config, som fortolker parametre i webadresser. Ved at sende parametrene width og height med for meget data kan en angriber udløse et stack-baseret bufferoverløb, det vil sige at et program skriver mere data til en hukommelsesblok, end den er beregnet til. Det kan bruges til at afvikle vilkårlig kode på enheden. Fejlen kræver hverken login eller brugerhandling og kan udnyttes over netværket.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der har en Comfast CF-N1-S kørende firmware version 2.6.0.1. Enheden bruges typisk som trådløst accesspoint eller range extender i mindre kontorer, butikker og lagerlokaler, ofte til gæstenetværk eller til at udvide dækningen i et eksisterende netværk.
Hvad kan ske?
En angriber, der kan nå enhedens webgrænseflade over netværket, kan sende et forberedt kald til /cgi-bin/mbox-config og overtage enheden fuldstændigt. Herfra kan angriberen aflytte eller omdirigere netværkstrafik, bruge enheden som adgangsvej videre ind i virksomhedens netværk, eller sætte den ud af drift. Da enheden ofte sidder i skellet mellem gæstenetværk og internt netværk, kan konsekvensen række videre end selve enheden.
Hvor alvorligt er det?
CVSS-score er 10,0 ud af 10, den højeste mulige score. Angrebet kræver ingen login-oplysninger, ingen brugerhandling og kan gennemføres over netværket med lav kompleksitet. Fuld fortrolighed, integritet og tilgængelighed på enheden er i fare. Der er ikke oplysninger om, at fejlen aktivt udnyttes, men den lave angrebsbarriere gør den attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Der findes ikke en opdatering fra leverandøren pr. offentliggørelsesdatoen. Følgende skridt begrænser risikoen, mens I afklarer det videre forløb:
- Fjern enheden fra direkte adgang fra internettet, og bloker adgang til webgrænsefladen fra ukendte netværk.
- Undersøg om jeres Comfast CF-N1-S kører version 2.6.0.1, og notér placering og formål i netværket.
- Placér enheden bag en firewall, og segmenter netværket, så et kompromitteret accesspoint ikke giver adgang til øvrige systemer.
- Kontakt Comfast eller jeres leverandør for at høre om en kommende firmwareopdatering, og overvej udskiftning, hvis der ikke kommer en løsning.
- Overvåg logfiler for usædvanlig trafik mod /cgi-bin/mbox-config.
- Få ekstern hjælp, hvis I ikke selv kan vurdere, om enheden er eksponeret, eller hvis I finder tegn på misbrug.
Isolér enheden fra internettet i dag
Vi anbefaler, at I straks fjerner enheden fra direkte internetadgang og segmenterer netværket, så en kompromitteret enhed ikke giver videre adgang. Da der ikke findes en officiel opdatering, bør I overveje at udskifte enheden, hvis den er kritisk for driften. Det er kun forsvarligt at vente, hvis enheden allerede er fuldt isoleret bag en firewall uden adgang udefra.
Tidslinje
Konkrete eksempler
Gæste-wifi i en butik
En detailbutik bruger en Comfast CF-N1-S som accesspoint til gæstenetværket. Enheden er tilgængelig fra internettet gennem en åben port i routeren. En angriber sender et forberedt kald til /cgi-bin/mbox-config, overtager enheden og bruger den som springbræt til at scanne butikkens interne netværk, hvor kassesystemet også er tilsluttet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte enhed?
Log ind på enhedens administrationsgrænseflade eller kontrollér mærkatet på enheden for modelnavnet Comfast CF-N1-S og firmwareversion 2.6.0.1. Er I i tvivl, kan jeres it-leverandør hjælpe med at identificere netværksudstyret.
Kan vi vente med at gøre noget til i næste uge?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over netværket. Vi anbefaler at isolere enheden fra internettet samme dag, I bliver opmærksomme på problemet.
Findes der en opdatering fra leverandøren?
Der er ikke oplysninger om en opdatering pr. offentliggørelsesdatoen. Kontakt Comfast eller jeres forhandler for status, og overvej udskiftning, hvis der ikke kommer en løsning.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af aktiv udnyttelse pr. offentliggørelsesdatoen. Den høje CVSS-score og lave kompleksitet betyder dog, at fejlen kan blive udnyttet automatisk, hvis den bliver kendt af angribere.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Ja. Hvis I finder tegn på, at enheden er kompromitteret, og det har berørt persondata eller kritisk drift, skal I vurdere anmeldelsespligt efter databeskyttelsesloven og eventuelt kontakte Center for Cybersikkerhed.
Kan vi bare skjule enheden bag en firewall i stedet for at udskifte den?
Det reducerer risikoen betydeligt, men fjerner den ikke helt, hvis enheden fortsat er tilgængelig fra det interne netværk. På sigt bør enheden udskiftes eller opdateres, når det er muligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in Comfast CF-N1-S 2.6.0.1. This affects the function get_para_from_uri of the file /cgi-bin/mbox-config of the component URI Parameter Parsing. This manipulation of the argument width/height causes stack-based buffer overflow. The attack can be initiated remotely.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.