CVE-2026-76071: Kritisk fejl i Netis NC63-router
Netis NC63-routere med firmware til V3.0.0.3327 kan overtages fuldstændigt uden login. Luk fjernadgang og udskift enheden.
Hvad er det?
CVE-2026-76071 er en fejl i firmwaren til routeren Netis NC63, hvor programmet skriver mere data ind i en stak, et hukommelsesområde til midlertidige data under programkørsel, end der er plads til. Fejlen ligger i funktionen ipFilterList=mod i filen netis.cgi, hvor parameteren destHost sendes videre uden længdebegrænsning til sscanf, en funktion der læser tekst ind i faste hukommelsesfelter. En angriber kan sende en for lang destHost-værdi og dermed skrive vilkårlig kode ind i stakken, før routeren overhovedet tjekker login. Fordi routerens webserver, Boa, kører CGI-programmer som root, får angriberen fuld administratoradgang til enheden.
Hvem rammer det?
Sårbarheden rammer Netis NC63-routere med firmware til og med version V3.0.0.3327. Det gælder både private husstande og mindre virksomheder, der bruger denne router som internetadgangspunkt, ofte i filialer, butikker eller som backup-forbindelse. Er routerens administrationsside tilgængelig fra internettet, eller er porte videresendt til den, er enheden direkte udsat.
Hvad kan ske?
En angriber kan overtage routeren fuldstændigt uden at kende brugernavn eller adgangskode. Herfra kan angriberen aflytte og omdirigere al trafik gennem netværket, ændre DNS-opslag til at pege medarbejdere mod falske sider, eller bruge routeren som indgang videre ind i virksomhedens interne netværk. Routeren kan også indgå i et botnet, et netværk af overtagne enheder, der bruges til at angribe andre.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger, og kan udføres over netværk uden fysisk adgang til enheden. Der er ikke oplyst offentligt tilgængelig angrebskode eller registreret aktiv udnyttelse på offentliggørelsesdatoen, men fejlen er let at udnytte for en angriber med den fornødne teknik, fordi kompleksiteten er lav.
Hvad gør jeg nu?
Der er ikke oplyst en officiel firmwareopdatering, der lukker hullet. Prioritér derfor at fjerne adgangen udefra, mens I afklarer, om enheden skal udskiftes.
- Sluk for fjernadministration af routeren og fjern eventuel portvidereslusning til administrationssiden fra internettet.
- Kontrollér om routeren kun kan tilgås fra det interne netværk, og afskær adgang fra internettet helt, hvis muligt.
- Tjek på Netis’ hjemmeside eller support, om der er kommet en nyere firmwareversion end V3.0.0.3327.
- Er der ingen opdatering til rådighed, bør enheden udskiftes med en router fra en leverandør, der aktivt vedligeholder firmware.
- Gennemgå routerens logs for usædvanlig trafik eller ukendte administratorlogins.
- Er I i tvivl om jeres netværksopsætning, eller har I mistanke om, at enheden allerede er kompromitteret, bør I få en ekstern gennemgang af netværket.
Afskær internetadgang til enheden nu
Vi anbefaler, at I straks fjerner fjernadgang til routerens administrationsside, uanset om I kan opdatere firmwaren eller ej. Det er kun forsvarligt at vente, hvis enheden udelukkende er tilgængelig fra et internt, betroet netværk, og der ikke er videresendt porte til den fra internettet. Findes der ingen firmwareopdatering fra Netis, bør I planlægge udskiftning af enheden som en permanent løsning frem for en midlertidig afskærmning.
Tidslinje
Konkrete eksempler
Filial med fjernadgang til routeren
En mindre dansk detailkæde bruger en Netis NC63 som internetrouter i en filial og har åbnet fjernadministration for at kunne fejlsøge uden at skulle møde fysisk op. En angriber finder enheden ved at scanne internettet for åbne administrationssider, sender en overlang destHost-værdi og får rootadgang til routeren. Herfra omdirigerer angriberen filialens netværkstrafik og får adgang til kasseapparatets netværksforbindelse.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger en sårbar Netis NC63?
Tjek routerens administrationsside eller mærkat for modelnavn og firmwareversion. Er modellen NC63 og firmwareversionen V3.0.0.3327 eller ældre, er enheden sårbar.
Kan vi vente til weekenden med at gøre noget?
Kun hvis routerens administrationsside ikke kan tilgås fra internettet. Er den det, bør I lukke adgangen med det samme, da angrebet ikke kræver login.
Findes der en opdatering, der løser problemet?
Der er ikke oplyst en officiel firmwareopdatering, der lukker denne fejl. Vi anbefaler at tjekke leverandørens hjemmeside jævnligt og overveje udskiftning, hvis der ikke kommer en rettelse.
Hvordan tjekker vi, om routeren allerede er kompromitteret?
Se efter usædvanlige ændringer i routerens indstillinger, ukendte administratorbrugere, ændrede DNS-indstillinger eller usædvanlig udgående trafik i loggen. Er I i tvivl, bør en ekstern gennemgang foretages.
Skal vi anmelde hændelsen?
Kun hvis I finder tegn på, at routeren faktisk er blevet udnyttet, og persondata eller forretningskritiske systemer kan være berørt. Så skal hændelsen vurderes efter reglerne om databrud.
Er hjemmekontorer med denne router også udsat?
Ja. Bruger medarbejdere en Netis NC63 derhjemme til at oprette forbindelse til virksomhedens systemer, bør den samme afskærmning og opdateringstjek gennemføres der.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Netis NC63 firmware through V3.0.0.3327 contains a stack-based buffer overflow vulnerability that allows unauthenticated remote attackers to overwrite saved stack state by supplying an oversized destHost parameter to the ipFilterList=mod action in netis.cgi. Attackers can exploit widthless sscanf conversions that copy user-supplied input into fixed-size stack buffers before authentication is verified, achieving remote code execution as root due to the Boa web server executing the CGI environment with root privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.