CVE-2026-85031: Kritisk bufferoverløb i TOTOLINK CP450
Kritisk bufferoverløb i TOTOLINK CP450-routere (CVE-2026-85031) kan give en angriber fuld kontrol. Opdatér firmware eller isolér enheden nu.
Hvad er det?
CVE-2026-85031 er en sårbarhed i TOTOLINK CP450-routere med firmwareversion 4.1.0. Fejlen ligger i filen /cgi-bin/cstecgi.cgi, hvor parameteren topicurl kan manipuleres til at skabe et bufferoverløb. Et bufferoverløb er en fejl, hvor et program skriver mere data til et hukommelsesområde, end det er beregnet til, hvilket kan bruges til at afvikle vilkårlig kode på enheden. Sårbarheden kan udnyttes over netværket uden brugerinteraktion, men kræver en form for lav-privilegeret adgang til enhedens webgrænseflade.
Hvem rammer det?
Sårbarheden rammer TOTOLINK CP450-routere, der kører firmware 4.1.0. Denne routertype bruges typisk som internetgateway eller mesh-forlængelse i mindre kontorer, filialer og hjemmearbejdspladser. Er enhedens administrationsgrænseflade tilgængelig fra internettet eller fra et usikret internt netværk, er den udsat.
Hvad kan ske?
En angriber, der har eller opnår lav-privilegeret adgang til routerens webgrænseflade, for eksempel via et standard- eller genbrugt adgangskode, kan sende en manipuleret forespørgsel og udløse bufferoverløbet. Det kan give fuld kontrol over routeren, herunder mulighed for at aflytte al trafik, omdirigere DNS-opslag, installere skadelig firmware eller bruge enheden som adgangspunkt til det interne netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og lave rettigheder, men ingen brugerinteraktion, og kompleksiteten er lav. Det betyder, at en angriber med begrænset adgang relativt let kan udføre angrebet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ikke dokumenteret aktiv udnyttelse i naturen på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden, mens I venter på en officiel rettelse.
- Undersøg om jeres TOTOLINK CP450-enheder kører firmware 4.1.0, og tjek TOTOLINKs hjemmeside for en opdateret firmwareversion, der retter fejlen.
- Er der ingen opdatering tilgængelig, skal administrationsgrænsefladen på routeren tages ud af direkte adgang fra internettet.
- Skift standardadgangskoder og deaktivér fjernadministration, hvis det ikke er strengt nødvendigt.
- Placér enheden bag en firewall og segmentér netværket, så en kompromitteret router ikke giver direkte adgang til interne systemer.
- Gennemgå logfiler for usædvanlig trafik mod cstecgi.cgi eller uventede login-forsøg.
- Er I i tvivl om, hvorvidt enheden allerede er kompromitteret, eller om afskærmningen er sat rigtigt op, bør I søge hjælp fra en ekstern it-sikkerhedspartner.
Opdatér eller isolér inden for få dage
Vi anbefaler, at I straks kontrollerer, om jeres TOTOLINK CP450-routere kører firmware 4.1.0, og at I fjerner administrationsadgang fra internettet, indtil en rettelse foreligger. Det er ikke forsvarligt at vente til en fast opdateringsrunde, når scoren er så høj og angrebet kræver så lidt. Har I ikke selv kompetencerne til at segmentere netværket forsvarligt, bør I inddrage en ekstern rådgiver med det samme.
Tidslinje
Konkrete eksempler
Kompromitteret router hos mindre virksomhed
En dansk håndværksvirksomhed bruger en TOTOLINK CP450 som internetgateway på kontoret og har aldrig ændret standardadgangskoden på administrationssiden. En angriber scanner internettet, finder enheden, logger ind med standardadgangskoden og sender en manipuleret forespørgsel til cstecgi.cgi. Angriberen får fuld kontrol over routeren og bruger den som adgangsvej til virksomhedens interne netværk og printere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Log ind på routerens administrationsside og tjek firmwareversionen. Er der tale om en TOTOLINK CP450 med version 4.1.0, er enheden potentielt sårbar.
Kræver angrebet, at nogen klikker på noget?
Nej. Sårbarheden kræver ingen brugerinteraktion. Angriberen skal dog have en form for lav-privilegeret adgang til routerens webgrænseflade, for eksempel via svage eller genbrugte adgangskoder.
Kan vi vente til weekenden med at reagere?
Vi fraråder det. Med en CVSS-score på 9,9 og ingen krav om brugerinteraktion bør administrationsadgangen fra internettet lukkes ned med det samme, mens I afventer en firmwareopdatering.
Er der en officiel opdatering fra TOTOLINK?
Der er ikke oplyst en officiel rettelse på offentliggørelsestidspunktet. Tjek jævnligt TOTOLINKs supportside for firmwareopdateringer til CP450-modellen.
Skal vi anmelde hændelsen, hvis routeren er blevet udnyttet?
Er personoplysninger eller følsomme data blevet eksponeret som følge af en udnyttet router, kan det udløse anmeldelsespligt til Datatilsynet efter databeskyttelsesreglerne. Vurdér konkret i hvert tilfælde, gerne med juridisk eller sikkerhedsfaglig bistand.
Kan vi bare udskifte routeren i stedet for at rette den?
Ja, det er en mulig løsning, hvis enheden er forældet eller ikke længere understøttes. Sørg i så fald for, at den gamle router tages helt ud af drift og ikke genbruges uden en gennemgang af konfigurationen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in TOTOLINK CP450 4.1.0. The impacted element is an unknown function of the file /cgi-bin/cstecgi.cgi. Performing a manipulation of the argument topicurl results in buffer overflow. Remote exploitation of the attack is possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.