CVE-2026-78050: Kritisk fejl i Comfast CF-N1-S router
Kritisk bufferoverløb i Comfast CF-N1-S 2.6.0.1 kan give en angriber fuld kontrol over routeren. Isolér enheden fra internettet, indtil en opdatering findes.
Hvad er det?
CVE-2026-78050 er en sårbarhed i webadministrationen på routeren Comfast CF-N1-S, version 2.6.0.1. Fejlen ligger i funktionen sub_41AD7C, som behandler tidszoneindstillinger via adressen /cgi-bin/mbox-config med parametrene timestr og ntp_client_enabled. Når disse parametre indeholder mere data end forventet, skriver programmet ud over den afsatte hukommelse på stakken, et såkaldt stack-based buffer overflow. Det kan en angriber udnytte til at afvikle egen kode på enheden. Angrebet kan udføres over netværket uden brugerinteraktion, men kræver en lav grad af adgang, for eksempel et almindeligt brugerlogin til enhedens webgrænseflade.
Hvem rammer det?
Sårbarheden rammer alle Comfast CF-N1-S-enheder med firmware 2.6.0.1. Comfast-produkter bruges typisk som billige trådløse accesspunkter eller repeatere i mindre kontorer, butikker og hjemmekontorer i Danmark, ofte sat op af en lokal it-leverandør eller medarbejderen selv. Er webadministrationen tilgængelig fra internettet eller fra et gæstenetværk, er enheden udsat.
Hvad kan ske?
En angriber, der udnytter fejlen, kan overtage routeren fuldstændigt: læse og ændre netværkstrafik, omdirigere brugere til falske sider, oprette en fast bagdør til det interne netværk og bruge enheden som springbræt til øvrige systemer i virksomheden. For en dansk SMV betyder det i praksis, at hele kontornetværket kan være kompromitteret, uden at det er synligt i den daglige drift.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, kritisk. Angrebet kan udføres over netværket, kræver ikke brugerinteraktion og har lav kompleksitet, men kræver et lavt privilegieniveau, altså et basalt login til enhedens webgrænseflade. Konsekvenserne er maksimale på alle tre parametre: fortrolighed, integritet og tilgængelighed rammes fuldt ud. Der findes offentligt tilgængelig kode til at udnytte sårbarheden, hvilket gør angreb nemmere at udføre, selv for angribere med begrænset teknisk erfaring.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den nævnte rækkefølge:
- Fjern webadministrationen fra internettet og fra gæstenetværk med det samme, så kun betroede interne adresser kan tilgå den.
- Undersøg om Comfast har udgivet en opdateret firmwareversion til CF-N1-S, og opdatér enheden, hvis muligt.
- Skift adgangskoder til alle brugerkonti på enheden, herunder standardkonti, der ikke er ændret.
- Gennemgå enhedens logfiler for usædvanlig trafik eller uautoriserede ændringer i konfigurationen.
- Overvej at udskifte enheden med et produkt fra en leverandør, der aktivt understøtter sikkerhedsopdateringer, hvis Comfast ikke leverer en løsning.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, om enheden er kompromitteret, eller hvis I har flere Comfast-enheder i drift.
Isolér enheden nu, opdatér når muligt
Vi anbefaler, at I straks fjerner webadministrationen på Comfast CF-N1-S fra internettet og gæstenetværk, da der ikke er belæg for, at der findes en officiel opdatering. Det er kun forsvarligt at vente, hvis enheden allerede er fuldstændig isoleret fra eksterne netværk og kun tilgås fra et betroet internt segment. Har I enheden i drift uden denne isolation, bør den udskiftes eller tages ud af produktion, indtil en løsning findes.
Tidslinje
Konkrete eksempler
Kompromitteret kontornetværk via trådløs enhed
En mindre dansk regnskabsvirksomhed bruger en Comfast CF-N1-S som trådløst accesspunkt i kontoret, tilgængeligt fra internettet for fjernsupport. En angriber udnytter bufferoverløbet til at overtage enheden og aflytter al netværkstrafik, herunder login til virksomhedens økonomisystem. Angrebet opdages først, da uautoriserede overførsler dukker op i banken flere uger senere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte enhed?
Tjek modelnavn og firmwareversion i administrationspanelet på jeres trådløse udstyr. Sårbarheden gælder specifikt Comfast CF-N1-S med firmware 2.6.0.1. Er I i tvivl, kan I kontakte den leverandør, der har opsat netværket.
Kan vi vente til efter weekenden med at gøre noget?
Nej, ikke hvis webadministrationen er tilgængelig fra internettet. Der findes offentlig kode til at udnytte sårbarheden, og risikoen for udnyttelse er reel så længe enheden er eksponeret. Isolér adgangen nu, og planlæg selve opdateringen eller udskiftningen bagefter.
Er sårbarheden allerede udnyttet hos danske virksomheder?
Der er ikke offentlig dokumentation for konkrete angreb i Danmark på tidspunktet for offentliggørelsen. Det ændrer ikke ved, at koden til at udnytte fejlen er offentligt tilgængelig, hvilket øger risikoen markant.
Skal vi anmelde dette til Datatilsynet eller andre myndigheder?
Kun hvis I konstaterer, at der faktisk er sket et sikkerhedsbrud med adgang til persondata. Selve sårbarheden i sig selv udløser ikke en anmeldelsespligt, men et konstateret indbrud via denne fejl kan gøre det.
Findes der en rettelse fra Comfast?
Der er ikke belæg for, at Comfast har udgivet en officiel firmwareopdatering til denne konkrete sårbarhed. Vi anbefaler, at I følger med på leverandørens hjemmeside og i mellemtiden holder enheden isoleret fra usikre netværk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in Comfast CF-N1-S 2.6.0.1. The affected element is the function sub_41AD7C of the file /cgi-bin/mbox-config?method=SET§ion=ntp_timezone of the component Web Management. The manipulation of the argument timestr/ntp_client_enabled results in stack-based buffer overflow. It is possible to launch the attack remotely. The exploit has been made public and could be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.