CVE-2026-78167: Kritisk fejl i ipTIME T16000M router
Kritisk fejl i EFM ipTIME T16000M-routere gør det muligt at omgå login uden adgangskode. Isolér enheden, der findes ingen opdatering.
Hvad er det?
Sårbarheden CVE-2026-78167 findes i routeren EFM ipTIME T16000M, firmwareversion 14.20.2. Fejlen sidder i funktionen httpcon_check_session_url, som skal tjekke, om en bruger er logget ind, før den viser administrationssiden. På grund af en fejl i denne kontrol kan en angriber sende en særligt formet forespørgsel og opnå adgang til routerens administrationsside, uden at have en gyldig session eller kende adgangskoden. Det kaldes en autentifikationsomgåelse, fordi selve login-kontrollen kan snydes. Koden til at udnytte fejlen er offentliggjort, og producenten har ikke svaret på henvendelser om problemet.
Hvem rammer det?
Sårbarheden rammer routeren EFM ipTIME T16000M med firmware 14.20.2. Produktet er sydkoreansk og mest udbredt i Asien, men kan forekomme i danske virksomheder, der bruger det som netværksudstyr i mindre kontorer, satellitkontorer eller via brugt hardware. Er administrationsinterfacet på routeren tilgængeligt fra internettet, er I direkte i risiko.
Hvad kan ske?
En angriber, der finder routerens administrationsside åben på internettet, kan logge ind uden legitimation og få fuld kontrol over enheden. Det åbner for at ændre DNS-indstillinger og omdirigere medarbejderes trafik til falske sider, aflytte netværkstrafik, oprette bagdøre til det interne netværk eller lukke routeren helt ned. For en dansk virksomhed betyder det i praksis, at routeren kan bruges som indgang til resten af netværket.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger, og det kan udføres over netværket, herunder internettet. Både fortrolighed, integritet og tilgængelighed af routeren er fuldt kompromitteret ved udnyttelse. Angrebskoden er offentligt tilgængelig, hvilket gør det sandsynligt, at sårbarheden bliver forsøgt udnyttet bredt, selvom der endnu ikke er bekræftede angreb registreret.
Hvad gør jeg nu?
Da producenten ikke har reageret, findes der ingen opdatering. Fokus skal derfor være at begrænse adgangen til enheden.
- Undersøg om I bruger EFM ipTIME T16000M, og find enhedens firmwareversion.
- Sørg for at administrationsinterfacet ikke er tilgængeligt fra internettet. Deaktiver fjernadministration og begræns adgang til det lokale netværk.
- Placér routeren bag en firewall, der blokerer indgående forbindelser til administrationsporten.
- Gennemgå routerens konfiguration for uautoriserede ændringer, især DNS-indstillinger.
- Planlæg udskiftning af enheden til et produkt med aktiv producentsupport, da der ikke er udsigt til en rettelse.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I er i tvivl om, hvordan administrationsadgangen bedst afskærmes, eller hvis I mistænker, at routeren allerede er kompromitteret.
Isolér enheden nu, ingen opdatering findes
Vi anbefaler, at I straks fjerner routerens administrationsinterface fra internettet og begrænser adgangen til det lokale netværk. Da producenten ikke har svaret og ingen opdatering er på vej, bør I samtidig planlægge udskiftning af enheden. Det er kun forsvarligt at vente, hvis administrationsadgangen allerede er fuldt afskærmet fra internettet og det interne netværk er segmenteret.
Tidslinje
Konkrete eksempler
Fjernkontor med eksponeret router
En dansk virksomhed med et mindre satellitkontor bruger en EFM ipTIME T16000M til netværksforbindelse og har af bekvemmelighed åbnet fjernadministration mod internettet. En angriber scanner internettet for åbne administrationsinterfacer, finder routeren, omgår login og ændrer DNS-indstillingerne. Medarbejdernes trafik omdirigeres til falske login-sider, hvilket fører til tyveri af adgangskoder til virksomhedens systemer.
Ofte stillede spørgsmål
Bruger vi den ramte router?
Tjek fysisk mærkat eller administrationsside for model EFM ipTIME T16000M og firmwareversion 14.20.2. Er I i tvivl, kan jeres it-leverandør identificere udstyret via netværksscanning.
Er vi ramt, hvis administrationssiden ikke kan tilgås fra internettet?
Risikoen er markant lavere, hvis administrationsinterfacet kun kan tilgås fra det lokale netværk. En intern angriber eller kompromitteret enhed på netværket kan dog stadig udnytte sårbarheden.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebskoden er offentlig, og fejlen kræver hverken login eller brugerhandling. Er interfacet eksponeret mod internettet, bør adgangen lukkes samme dag, det opdages.
Hvornår kommer der en opdatering?
Der er ingen tidshorisont. Producenten er kontaktet, men har ikke svaret, og der er ikke offentliggjort planer om en rettelse.
Skal vi anmelde hændelsen, hvis routeren er blevet kompromitteret?
Er persondata eller kritiske systemer berørt, kan hændelsen udløse anmeldelsespligt til Datatilsynet efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller Auroa for en vurdering.
Er en udskiftning nødvendig, eller kan vi bare afskærme routeren?
Afskærmning fra internettet reducerer risikoen markant på kort sigt, men uden en rettelse fra producenten anbefaler vi at planlægge udskiftning til udstyr med aktiv support.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in EFM ipTIME T16000M 14.20.2. The impacted element is the function httpcon_check_session_url of the component Session Validation Handler. This manipulation causes improper authentication. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.