CVE-2026-78168: Kritisk loginfejl i ipTIME T24000M-router
Kritisk sikkerhedsfejl i ipTIME T24000M-routere gør det muligt at omgå login uden adgangskode. Producenten har ikke svaret på henvendelser.
Hvad er det?
CVE-2026-78168 er en fejl i funktionen httpcon_check_session_url i routeren ipTIME T24000M fra producenten EFM. Fejlen er en såkaldt improper authentication, det vil sige at systemet, der skal kontrollere om en bruger er logget ind, kan omgås. En session validation handler er den kode, der tjekker, om en indkommende forbindelse allerede har en gyldig login-session. Ved at manipulere med denne kontrol kan en angriber få adgang til routerens administrationsside, uden at kende brugernavn eller adgangskode. Fejlen kan udnyttes over netværket, og producenten er blevet kontaktet om problemet, men har ikke reageret.
Hvem rammer det?
Fejlen rammer alle virksomheder og organisationer, der bruger routeren ipTIME T24000M med firmware op til og med version 14.20.0. Det gælder typisk mindre virksomheder, filialer eller kommunale institutioner, der har koblet routeren direkte til internettet, for eksempel til fjernadgang eller som gateway for et lokalt netværk.
Hvad kan ske?
En angriber, der kan nå routerens administrationsgrænseflade over internettet, kan opnå fuld administratoradgang uden login. Herfra kan angriberen ændre netværksindstillinger, omdirigere trafik, åbne for yderligere adgang til det interne netværk eller bruge routeren som springbræt til andre systemer i virksomheden. Da routeren ofte sidder som første led ind til virksomhedens netværk, kan konsekvensen sprede sig til øvrige systemer.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10 og er kategoriseret som kritisk. Den kan udnyttes over netværket uden at kræve login eller nogen handling fra en bruger, og angrebet er ikke teknisk komplekst. Der findes offentligt kendt information om, hvordan fejlen kan udnyttes, men det er ikke bekræftet, at den aktivt bliver udnyttet i angreb.
Hvad gør jeg nu?
Da producenten ikke har udgivet en opdatering, skal I begrænse eksponeringen af routeren, indtil en løsning findes eller enheden udskiftes.
- Fjern routerens administrationsgrænseflade fra internettet. Sørg for, at den kun kan tilgås fra det lokale netværk, og ikke fra WAN-siden.
- Skift adgangskoder på alle konti, der har adgang til routeren, samt på tilsluttede systemer, hvis I er i tvivl om, om fejlen allerede er udnyttet.
- Kontrollér routerens administrationslog for uventede logins eller ændringer i konfigurationen.
- Undersøg, om producenten senere udgiver en firmwareopdatering, og hold jer orienteret via NVD eller producentens hjemmeside.
- Overvej at udskifte routeren med en model fra en producent, der aktivt understøtter sikkerhedsopdateringer, hvis EFM ikke reagerer inden for en rimelig tidshorisont.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om routeren er eksponeret, eller hvis I finder tegn på uautoriseret adgang.
Afskærm routeren fra internettet i dag
Vi anbefaler, at I straks fjerner administrationsadgangen til ipTIME T24000M fra internettet, da der ikke findes en officiel opdatering. Det er ikke forsvarligt at vente, fordi fejlen kan udnyttes uden login og uden brugerinteraktion, og angrebsmetoden allerede er offentligt kendt. Hvis routeren udelukkende bruges internt og ikke er tilgængelig fra internettet, kan I vente med udskiftning, men bør stadig planlægge en langsigtet løsning.
Tidslinje
Konkrete eksempler
Router eksponeret til fjernadministration
En mindre dansk virksomhed bruger en ipTIME T24000M som gateway for sit kontornetværk og har åbnet administrationsadgangen for at kunne fejlsøge routeren hjemmefra. En angriber finder enheden ved en almindelig scanning af internettet, udnytter fejlen i session-kontrollen og får administratoradgang uden at kende adgangskoden. Herfra ændrer angriberen DNS-indstillingerne, så trafik fra kontoret omdirigeres til et falsk login-site, hvilket giver mulighed for at stjæle medarbejderes brugernavne og adgangskoder.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en ipTIME T24000M-router med firmware version 14.20.0 eller ældre. Tjek firmwareversionen i routerens administrationsside eller kontakt jeres netværksleverandør, hvis I er i tvivl om, hvilken model I har.
Hvordan tjekker vi, om routeren er eksponeret på internettet?
I kan tjekke, om administrationsgrænsefladen svarer på routerens offentlige IP-adresse fra internettet, for eksempel ved at forsøge at tilgå den udefra virksomhedens netværk. Er I i tvivl, bør I bede en it-leverandør om at foretage en ekstern scanning.
Kan vi vente til weekenden med at gøre noget?
Nej. Da fejlen kræver hverken login eller brugerhandling, og der findes offentligt kendte oplysninger om udnyttelse, bør I afskærme routerens administrationsadgang samme dag, som I bliver bekendt med problemet.
Findes der en opdatering fra producenten?
Der er pr. offentliggørelsesdatoen ingen kendt firmwareopdatering fra EFM. Producenten har ikke reageret på henvendelser om sårbarheden.
Skal vi anmelde denne sårbarhed til nogen?
Er I en offentlig myndighed eller en virksomhed underlagt NIS2, bør I vurdere, om jeres interne beredskabsprocedurer kræver anmeldelse, hvis routeren har været eksponeret og der er tegn på misbrug. Er der ikke sket et konkret sikkerhedsbrud, er der normalt ikke krav om anmeldelse alene på baggrund af sårbarheden.
Skal vi udskifte routeren helt?
Hvis producenten ikke udgiver en opdatering inden for en rimelig periode, anbefaler vi, at I planlægger udskiftning til en model med aktiv sikkerhedssupport, især hvis routeren står eksponeret mod internettet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in EFM ipTIME T24000M up to 14.20.0. This affects the function httpcon_check_session_url of the component Session Validation Handler. Such manipulation leads to improper authentication. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.