CVE-2026-77946: Kritisk fejl i TRENDnet TEW-821DAP
Ukendt sårbarhed i TRENDnet TEW-821DAP giver angribere fuld kontrol over routeren uden login. Udnyttelseskode er offentlig, isolér eller udskift enheden.
Hvad er det?
CVE-2026-77946 er en fejl i firmwaren til TRENDnet TEW-821DAP, version 2.2.01b05. Fejlen sidder i funktionen uci_safe_get, som håndterer indstillinger for tidszone og NTP, en tjeneste der holder enhedens klokke synkroniseret. Ved at sende manipulerede værdier til parametre som system.ntp.server eller cameo.time.time_zone via /cgi-bin/apply_time.cgi kan en angriber udløse et stack-baseret bufferoverløb, hvor data skrives uden for det afsatte hukommelsesområde. Det kan give angriberen mulighed for at køre egen kode på enheden. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket.
Hvem rammer det?
Sårbarheden rammer TRENDnet TEW-821DAP med firmware 2.2.01b05. Denne enhed bruges typisk som trådløst adgangspunkt eller router i mindre kontorer, butikker og som gæstenet i danske virksomheder. Er enhedens administrationsside tilgængelig fra internettet, eller står den blot på det interne netværk, er den udsat.
Hvad kan ske?
En angriber kan overtage routeren fuldstændigt uden at logge ind. Herfra kan angriberen aflytte al trafik, der går gennem enheden, ændre DNS-opslag for at omdirigere medarbejdere til falske sider, eller bruge routeren som springbræt ind i virksomhedens interne netværk. For en dansk SMV betyder det risiko for datatab, aflytning af følsomme oplysninger og et kompromitteret netværk, der kan bruges videre til angreb på andre systemer.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen login, ingen adgangsrettigheder og ingen handling fra en bruger, og det kan udføres over netværket. Udnyttelseskode er offentligt tilgængelig, hvilket betyder, at det ikke kræver særlig ekspertise at angribe en sårbar enhed.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Undersøg om TRENDnet har udgivet en firmwareopdatering til TEW-821DAP, der retter fejlen i apply_time.cgi. Findes der ingen opdatering, skal enheden tages ud af drift eller udskiftes med en anden model.
- Bloker adgang til enhedens webadministration fra internettet, både i jeres eget firewall og i routerens indstillinger.
- Flyt enheden til et separat netværkssegment, så et kompromis ikke giver direkte adgang til resten af virksomhedens netværk.
- Gennemgå logs for uventede opkald til /cgi-bin/apply_time.cgi eller unormal NTP-trafik, der kan tyde på et forsøg på udnyttelse.
- Hent hjælp udefra, hvis I ikke selv kan afklare firmwareversion, isolere enheden eller finde en erstatning inden for kort tid.
Isolér enheden inden 24 timer
Vi anbefaler, at I straks tager TRENDnet TEW-821DAP ud af drift eller fjerner den fra internettet, indtil I har bekræftet, om der findes en firmwareopdatering. Det er ikke i orden at vente til en fast opdateringsrunde, fordi angrebet kræver ingen login og udnyttelseskode allerede er offentlig. Har I flere enheder af samme model, bør I tjekke dem alle samtidig, ikke kun den mest synlige.
Tidslinje
Konkrete eksempler
Gæstenet i mindre kontor bliver indgangen til netværket
En mindre dansk virksomhed bruger en TRENDnet TEW-821DAP som gæstenet-router. En angriber scanner internettet, finder enheden og udnytter fejlen i apply_time.cgi uden at skulle logge ind. Angriberen får kontrol over routeren og bruger den som springbræt til at aflytte trafik og forsøge at komme ind på virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger TRENDnet TEW-821DAP med firmware 2.2.01b05 som router eller adgangspunkt, uanset om den står internt eller er tilgængelig fra internettet.
Hvordan tjekker vi firmwareversionen?
Log ind på enhedens webadministration og se under systemoplysninger eller firmwarestatus. Versionen står typisk som 2.2.01b05 eller lignende nummerering fra TRENDnet.
Kan vi vente til en planlagt opdateringsrunde?
Nej. Angrebet kræver ingen login og kan udføres over netværket, og udnyttelseskode er allerede offentlig. Vi anbefaler at isolere eller udskifte enheden straks.
Findes der en officiel opdatering fra TRENDnet?
Der er ikke oplyst nogen fungerende opdatering på offentliggørelsestidspunktet. Tjek TRENDnets supportside for den konkrete model, og hvis intet fikser fejlen, bør enheden udskiftes.
Skal vi anmelde dette til myndighederne?
Er der sket et faktisk misbrug med tab af data eller adgang til jeres netværk, kan det udgøre et sikkerhedsbrud, der skal anmeldes til Datatilsynet efter de almindelige regler. Kontakt jeres databeskyttelsesansvarlige for en konkret vurdering.
Hvad kan vi gøre, hvis vi ikke kan udskifte enheden med det samme?
Bloker adgang til administrationsgrænsefladen fra internettet, flyt enheden til et isoleret netværkssegment, og overvåg trafikken tæt, indtil en permanent løsning er på plads.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in TRENDnet TEW-821DAP 2.2.01b05. Affected by this vulnerability is the function uci_safe_get of the file /cgi-bin/apply_time.cgi of the component NTP Timezone Configuration Handler. Executing a manipulation of the argument system.ntp.server/system.ntp.enable_server/cameo.time.time_zone/cameo.cameo.syslog_server can lead to stack-based buffer overflow. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.