CVE-2026-80146: Kritisk fejl i Lantronix konsol-servere
Kritisk bufferoverløb i Lantronix konsol-servere (SLC8000, EMG8500/EMG7500, SLB882, SLCx-02/03). Opdatér firmware eller isolér enheden nu.
Hvad er det?
CVE-2026-80146 er en sårbarhed i Lantronix’ konsol-servere, som bruges til fjernstyring af udstyr tilsluttet via seriel forbindelse, for eksempel industrimaskiner, netværksudstyr eller UPS-anlæg. Fejlen er et bufferoverløb på stakken (CWE-121): en udokumenteret kommando kaldet ‘mfc eeprom read’ tager imod brugerinput uden at begrænse længden, og det ekstra data skriver ud over det tiltænkte hukommelsesområde. Herfra bliver dataet sendt videre til en systemkommando. En bruger, der er logget ind, kan udnytte dette til at få enheden til at afvikle vilkårlig kode med fulde rettigheder.
Hvem rammer det?
Sårbarheden rammer Lantronix SLC8000 med firmware ældre end v9.7.0.2, EMG8500 og EMG7500 med firmware ældre end v9.7.0.1, samt alle firmwareversioner af SLB882, SLCx-03 og SLCx-02. Disse enheder bruges typisk af virksomheder og kommuner til fjernadministration af serielt tilsluttet udstyr i produktionsanlæg, datacentre eller tekniske installationer. Er I i tvivl om, hvilken model og firmwareversion I kører, kan det tjekkes via enhedens CLI eller webgrænseflade.
Hvad kan ske?
En angriber, der har adgang til en almindelig brugerkonto på enheden, kan sende et for stort input til den sårbare kommando og dermed overtage kontrollen med enheden fuldstændigt. Det giver mulighed for at læse og ændre konfiguration, afbryde driften, eller bruge enheden som springbræt videre ind i de systemer, den er tilsluttet via seriel forbindelse. For en dansk virksomhed kan det i praksis betyde, at en angriber får kontrol over styringen af produktionsudstyr eller netværksinfrastruktur, som konsol-serveren administrerer.
Hvor alvorligt er det?
CVSS-scoren er 9,9 af 10, hvilket er kritisk. Angrebet kræver netværksadgang og lav kompleksitet, og det kræver ingen handling fra en bruger. Til gengæld kræver det, at angriberen kan logge ind med en gyldig konto på enheden, men det behøver ikke være en administratorkonto: enhver bruger kan udnytte sårbarheden. Der er ikke oplyst om aktiv udnyttelse på offentliggørelsestidspunktet, men den lave angrebskompleksitet kombineret med den fulde konsekvens for fortrolighed, integritet og tilgængelighed gør fejlen alvorlig.
Hvad gør jeg nu?
Prioritér efter hvilken model og firmwareversion I kører:
- Opdatér SLC8000 til firmware v9.7.0.2 eller nyere, og EMG8500/EMG7500 til firmware v9.7.0.1 eller nyere. Det lukker sårbarheden.
- Kører I SLB882, SLCx-03 eller SLCx-02, findes der ikke en rettet firmware endnu. Isolér disse enheders administrationsgrænseflade bag firewall eller VPN, så kun betroede administratorer kan nå den.
- Gennemgå brugerkonti på enheden. Fjern delte og unødvendige konti, og skift adgangskoder til stærke, unikke koder.
- Begræns netværksadgangen til enhedens CLI og terminalgrænseflade til et separat administrationsnetværk.
- Overvåg logs for uventede kommandoer eller forsøg på at bruge ‘mfc eeprom read’.
- Hvis I ikke selv kan vurdere jeres eksponering eller mangler ressourcer til at gennemføre opdateringen, så kontakt Lantronix’ support eller Auroa for hjælp.
Opdatér eller isolér inden for få dage
Vi anbefaler, at I opdaterer SLC8000 og EMG8500/EMG7500 til de rettede firmwareversioner så hurtigt som muligt, da fejlen kan give en angriber fuld kontrol over enheden. Kører I SLB882, SLCx-03 eller SLCx-02, er der endnu ikke en rettet firmware, og her bør I isolere enhedens administrationsadgang, indtil en opdatering udkommer. Det er kun i orden at vente, hvis enheden allerede er fuldstændig afskærmet fra netværk, andre kan nå den fra, og kun betroede administratorer har adgang til dens brugerkonti.
Tidslinje
Konkrete eksempler
Fjernstyring af produktionsudstyr overtaget
En dansk fremstillingsvirksomhed bruger en Lantronix SLC8000 til fjernadgang til produktionsudstyr via seriel forbindelse. En medarbejders login til enheden bliver kompromitteret gennem phishing. Angriberen udnytter den sårbare kommando til at få fuld kontrol over konsol-serveren og kan derfra påvirke det tilsluttede produktionsudstyr, hvilket standser produktionen i flere timer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger Lantronix SLC8000 med firmware ældre end v9.7.0.2, EMG8500/EMG7500 med firmware ældre end v9.7.0.1, eller en SLB882-, SLCx-03- eller SLCx-02-enhed uanset firmwareversion.
Hvordan tjekker vi vores firmwareversion?
Log ind på enhedens CLI eller webgrænseflade og find versionsoplysningerne under systeminformation. Sammenlign med de rettede versioner nævnt ovenfor.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ingen brugerinteraktion. Det eneste, angriberen skal bruge, er gyldige loginoplysninger til en almindelig brugerkonto på enheden.
Kan vi vente til weekenden med at reagere?
Har I en rettet firmware til rådighed, bør I ikke vente unødigt, da fejlen giver fuld kontrol over enheden. Har I en model uden rettet firmware, skal netværksisolering ske med det samme, da det er den eneste beskyttelse indtil videre.
Skal vi anmelde hændelsen til myndighederne?
Sårbarheden i sig selv udløser ikke en anmeldelsespligt. Har I bevis for, at den er blevet udnyttet, og det har medført et brud på persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Ja. Begræns netværksadgangen til enhedens administrationsgrænseflade, så kun et afgrænset administrationsnetværk eller VPN kan nå den, indtil I kan gennemføre opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Lantronix SLC8000 before firmware v9.7.0.2, EMG8500/EMG7500 before firmware v9.7.0.1, and all firmware versions of SLB882/SLCx-03/SLCx-02 contain a stack-based buffer overflow vulnerability that allows authenticated attackers to potentially execute arbitrary code by exploiting an undocumented mfc eeprom read command that copies unbounded user input into a bounded stack buffer before passing it to a system() call. Attackers can authenticate as any user to the terminal or CLI interface and supply an oversized input to trigger the overflow, potentially achieving complete loss of confidentiality, integrity, and availability on the affected device and impacting downstream serial-attached devices.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.