CVE-2026-78169: Kritisk fejl i UTT HiPER 1250GW-router
Kritisk sårbarhed i UTT HiPER 1250GW-routere kan give en angriber fuld kontrol over enheden. Isolér administrationsadgangen i dag.
Hvad er det?
CVE-2026-78169 er en fejl i webgrænsefladen på routeren UTT HiPER 1250GW. Fejlen sidder i funktionen strcpy, som kopierer tekst uden at tjekke længden, i filen aspRemoteApConfTempSend. Når en angriber sender en for lang værdi i feltet Profile, skriver programmet ud over den hukommelse, der er afsat til formålet. Det kaldes et bufferoverløb på stakken, og det kan bruges til at få routeren til at køre kode, som angriberen selv har valgt. Fejlen kan udløses over netværket uden brugerinteraktion, og en offentligt tilgængelig udnyttelseskode findes allerede.
Hvem rammer det?
Sårbarheden rammer UTT HiPER 1250GW med firmware til og med version 3.2.7-210907-180535. Routeren bruges typisk som gateway eller VPN-boks i mindre kontorer og filialer, herunder hos danske SMV’er og enkelte kommunale institutioner med kinesisk netværksudstyr i budgetsegmentet. Alle enheder, hvor administrationsgrænsefladen er tilgængelig fra netværket, uanset om det er internt eller via internettet, er berørt.
Hvad kan ske?
En angriber med et lavt adgangsniveau på routerens administrationsside kan sende en manipuleret HTTP-forespørgsel og få routeren til at afvikle vilkårlig kode. Det giver typisk fuld kontrol over enheden: mulighed for at læse og ændre netværkstrafik, oprette skjulte administratorkonti, omdirigere trafik eller bruge routeren som springbræt videre ind i virksomhedens netværk. Da routeren ofte sidder i skellet mellem internt netværk og internettet, kan et kompromitteret apparat give adgang til systemer, der ellers er beskyttet.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder på routerens webgrænseflade, ingen brugerinteraktion og kan udføres over netværket. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, fordi angriberen i praksis overtager enheden. Der findes offentligt tilgængelig udnyttelseskode, men vi har ingen bekræftede oplysninger om, at fejlen udnyttes i stor stil endnu.
Hvad gør jeg nu?
Vi anbefaler følgende rækkefølge:
- Fjern eller begræns adgangen til routerens administrationsgrænseflade fra internettet og fra ikke-betroede interne netværk med det samme.
- Undersøg om jeres UTT HiPER 1250GW kører firmware op til og med 3.2.7-210907-180535, og tjek producentens hjemmeside for en nyere version.
- Skift adgangskoder til administrationskontoen og gennemgå brugerlisten for ukendte konti.
- Gennemgå logfiler for forespørgsler mod aspRemoteApConfTempSend eller andre usædvanlige kald til /goform/-stien.
- Overvej at udskifte enheden, hvis producenten ikke leverer en rettelse, da udstyret kan være ved at nå slutningen af sin supportperiode.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om routeren er eksponeret, eller hvis I finder tegn på kompromittering.
Luk adgangen inden for 48 timer
Vi anbefaler, at I straks fjerner administrationsgrænsefladen fra internettet og begrænser den til et betroet administrationsnetværk, uanset om der findes en opdatering endnu. Det er ikke i orden at vente til weekenden med denne type eksponering, fordi udnyttelseskoden allerede er offentlig. Er routeren ikke tilgængelig for uautoriserede brugere overhovedet, og har I allerede segmenteret netværket, kan I planlægge udskiftning eller opdatering i næste vedligeholdelsesvindue.
Tidslinje
Konkrete eksempler
Filial uden segmenteret netværk
En dansk virksomhed med flere filialer bruger UTT HiPER 1250GW som VPN-gateway i en mindre afdeling. Administrationsgrænsefladen er ved en fejl tilgængelig fra det almindelige kontornetværk. En angriber, der allerede har fået fodfæste et andet sted i netværket, udnytter sårbarheden til at overtage routeren og aflytte trafikken mellem filialen og hovedkontoret.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Tjek modelnavn og firmwareversion i routerens administrationsside eller i indkøbslister over netværksudstyr. Modellen hedder UTT HiPER 1250GW, og alle versioner til og med 3.2.7-210907-180535 er berørt.
Kan vi vente til weekenden med at gøre noget?
Nej. Udnyttelseskoden er offentligt tilgængelig, og angrebet kræver kun netværksadgang og lave rettigheder. Vi anbefaler at begrænse adgangen til administrationsgrænsefladen samme dag, I opdager sårbarheden.
Er der en officiel opdatering fra UTT?
Der er ikke oplyst nogen officiel rettelse på offentliggørelsestidspunktet. Følg producentens hjemmeside, og overvej i mellemtiden at afskærme enheden fra utroværdige netværk.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ingen brugerinteraktion. Angriberen skal blot kunne sende en HTTP-forespørgsel til routerens administrationsfunktion med et lavt adgangsniveau.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I tegn på, at routeren er kompromitteret, og persondata eller kritiske systemer kan være berørt, bør I vurdere anmeldelse til Datatilsynet efter de almindelige regler for sikkerhedsbrud, samt overveje at kontakte CFCS eller en ekstern sikkerhedsrådgiver.
Kan vi bare lukke porten i firewallen og lade routeren stå?
Det reducerer risikoen betydeligt, hvis administrationsgrænsefladen kun er tilgængelig internt eller slet ikke er eksponeret. Det er dog en midlertidig løsning, indtil der findes en opdatering eller enheden udskiftes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in UTT HiPER 1250GW up to 3.2.7-210907-180535. This impacts the function strcpy of the file /goform/aspRemoteApConfTempSend of the component HTTP Request Handler. Performing a manipulation of the argument Profile results in stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit is now public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.