CVE-2026-76590: Kritisk fejl i TRENDnet TEW-755AP
Kritisk sikkerhedshul i TRENDnet TEW-755AP giver angribere fuld kontrol over accesspunktet. Der findes ingen opdatering, så enheden skal isoleres eller udskiftes.
Hvad er det?
Sårbarheden findes i filen wan.cgi på TRENDnet TEW-755AP, et trådløst accesspunkt. Fejlen er en stack-based buffer overflow, som betyder at et program skriver mere data til en hukommelsesblok end den er beregnet til, hvorved angriberen kan overskrive kontroldata og få enheden til at køre egen kode. Fejlen udløses via parameteren cameo.wan.wan_pppoe_password_00, som ikke bliver kontrolleret for længde, før den bruges. Angrebet kan udføres over netværket uden fysisk adgang til enheden, og der findes allerede offentligt tilgængelig kode, som demonstrerer angrebet.
Hvem rammer det?
Alle organisationer, der bruger TRENDnet TEW-755AP med firmware op til version 20260702, er ramt. Det gælder typisk mindre kontorer, butikker og produktionslokaler, hvor accesspunktet er sat op til at give trådløs adgang, ofte administreret via webgrænsefladen på cgi-bin/wan.cgi. Er enheden tilgængelig fra internettet eller fra et usikret internt netværk, er risikoen størst.
Hvad kan ske?
En angriber, der har opnået et lavt niveau af adgang til administrationsgrænsefladen, kan sende en særligt udformet forespørgsel og derved overtage kontrollen med accesspunktet. Herfra kan angriberen aflytte al trafik, som passerer gennem enheden, ændre netværksindstillinger, bruge accesspunktet som springbræt ind i det interne netværk, eller lukke det helt ned. For en dansk virksomhed betyder det i praksis, at et enkelt kompromitteret accesspunkt kan give adgang til resten af netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,9 af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver kun lav privilegeret adgang til enheden, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Fordi fortrolighed, integritet og tilgængelighed alle rammes fuldt ud, og fejlen kan påvirke andre systemer end selve enheden (scope changed), er konsekvensen ved udnyttelse alvorlig. Der er offentligt tilgængelig angrebskode, men det er endnu ikke bekræftet, at fejlen er udnyttet i konkrete angreb.
Hvad gør jeg nu?
Da der ikke findes en opdatering fra TRENDnet, skal I begrænse eksponeringen af enheden, mens I planlægger udskiftning.
- Fjern administrationsgrænsefladen fra internettet og fra usikrede interne netværk, så wan.cgi kun kan nås fra et betroet administrationsnetværk.
- Undersøg, om jeres TEW-755AP kører firmware op til 20260702, og tjek om TRENDnet har udgivet en nyere version.
- Segmentér accesspunktet på et separat VLAN, så en kompromitteret enhed ikke giver direkte adgang til resten af netværket.
- Overvåg logfiler for uventede forbindelser til administrationsgrænsefladen og for genstarter uden forklaring.
- Planlæg udskiftning af enheden, da TEW-755AP er et ældre produkt uden aktiv opdateringssupport.
- Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv kan foretage netværkssegmentering eller vurdere risikoen for jeres konkrete opsætning.
Isolér enheden inden for 24 timer
Vi anbefaler, at I straks fjerner administrationsadgangen til TEW-755AP fra internettet og lægger enheden på et isoleret netværk, da der ikke findes en opdatering. Det er kun i orden at vente, hvis enheden allerede er fysisk og netværksmæssigt isoleret fra alle usikrede netværk. Da produktet er ældre og uden opdateringssupport, bør I samtidig planlægge udskiftning til en enhed med aktiv sikkerhedssupport.
Tidslinje
Konkrete eksempler
Kompromitteret accesspunkt i mindre kontor
En dansk virksomhed har et TEW-755AP accesspunkt, hvor administrationsgrænsefladen ved en fejl er tilgængelig fra det almindelige kontornetværk. En angriber, der har fået fodfæste i netværket via en anden svaghed, udnytter CVE-2026-76590 til at overtage accesspunktet og bruger det til at aflytte trafik og få adgang til flere systemer på netværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har en TRENDnet TEW-755AP i drift med firmware op til version 20260702. Tjek modelnummer og firmwareversion på enhedens webgrænseflade eller mærkat.
Findes der en opdatering, vi kan installere?
Der er ikke oplysninger om en officiel opdatering fra TRENDnet på nuværende offentliggørelsestidspunkt. I bør kontakte TRENDnet direkte og samtidig planlægge udskiftning af enheden.
Kan vi vente til efter weekenden med at reagere?
Det afhænger af, om enheden kan nås fra internettet eller et usikret netværk. Hvis den kan, bør adgangen begrænses nu, da der findes offentligt tilgængelig angrebskode.
Skal vi anmelde dette som et sikkerhedsbrud?
En anmeldelse er kun relevant, hvis I finder tegn på, at sårbarheden faktisk er udnyttet, og persondata eller kritiske systemer er blevet kompromitteret. Overvåg logfiler for at afklare dette, og søg rådgivning hvis I finder mistænkelig aktivitet.
Hvordan tjekker vi, om enheden allerede er kompromitteret?
Kig efter uventede genstarter, ændrede netværksindstillinger, nye administratorbrugere eller ukendt trafik til og fra enhedens administrationsport. Er I i tvivl, bør en sikkerhedsrådgiver undersøge enheden.
Er det nok at ændre adgangskoden på accesspunktet?
Nej. Sårbarheden ligger i selve softwaren og udløses uafhængigt af adgangskoden. Den eneste effektive beskyttelse er at begrænse netværksadgangen til enheden og på sigt udskifte den.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was identified in TRENDnet TEW-755AP up to 20260702. Affected by this issue is some unknown functionality of the file /cgi-bin/wan.cgi of the component ssi. Such manipulation of the argument cameo.wan.wan_pppoe_password_00 leads to stack-based buffer overflow. The attack can be executed remotely. The exploit is publicly available and might be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.