CVE-2026-86165: Kritisk bufferoverløb i Tenda HG10-router
Kritisk bufferoverløb i Tenda HG10-routere kan udnyttes uden login. Exploit er offentliggjort, og angrebet kræver ingen adgangskode.
Hvad er det?
CVE-2026-86165 er en sårbarhed i routeren Tenda HG10 med firmware 300001138. Fejlen ligger i funktionen formURL, som håndterer administrationssiden /boaform/admin/formURL. Når felterne Keywd eller urlFQDN modtager for lange værdier, opstår et bufferoverløb: programmet skriver mere data til en hukommelsesblok, end den er beregnet til, og resten af hukommelsen kan overskrives. Det kan en angriber udnytte til at få routeren til at køre kode, den ikke skulle. Angrebet kan udføres over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger.
Hvem rammer det?
Sårbarheden rammer Tenda HG10-routere med firmware version 300001138. Det gælder både virksomheder, der bruger enheden som internetrouter, og de tilfælde hvor administrationssiden er tilgængelig fra internettet, for eksempel via fjernadministration eller port-forwarding. Danske virksomheder og foreninger, der bruger denne routermodel som primær eller sekundær internetadgang, bør tjekke firmwareversionen.
Hvad kan ske?
En angriber kan overtage kontrollen med routeren uden at logge ind. Det giver mulighed for at aflytte og omdirigere netværkstrafik, blokere internetadgang, eller bruge routeren som indgang til det øvrige netværk. I praksis kan en dansk virksomhed opleve, at kunde- og medarbejderdata bliver aflyttet, eller at routeren bliver en del af et botnet, der bruges til angreb mod andre.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Der findes offentliggjort kode, der demonstrerer angrebet, hvilket gør det let for en angriber at udnytte sårbarheden uden selv at udvikle et angreb.
Hvad gør jeg nu?
Følg punkterne i den viste rækkefølge for at lukke hullet og begrænse skaden.
- Fjern administrationssiden fra internettet. Slå fjernadministration fra, og sørg for, at /boaform/admin/formURL kun kan tilgås fra det lokale netværk.
- Tjek firmwareversionen på jeres Tenda HG10-router, og opdatér til nyeste firmware fra Tenda, hvis en sådan findes.
- Skift adgangskoden til routerens administrationspanel til en ny, unik adgangskode.
- Segmenter netværket, så routeren ikke har direkte adgang til kritiske systemer og data.
- Overvej at udskifte routeren, hvis Tenda ikke udsender en sikkerhedsopdatering inden for rimelig tid.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om administrationssiden er eksponeret, eller hvis I har brug for hjælp til at segmentere netværket.
Afbryd fjernadgang inden for 24 timer
Vi anbefaler, at I straks fjerner administrationssiden fra internettet og tjekker, om jeres Tenda HG10-router er eksponeret. Da der ikke er en officiel opdatering fra Tenda, og der findes offentliggjort angrebskode, bør I ikke vente med at afskærme adgangen. Det er kun i orden at vente, hvis administrationspanelet allerede er utilgængeligt fra internettet og kun kan nås fra et betroet, internt netværk.
Tidslinje
Konkrete eksempler
Fjernadministration efterlader routeren åben
En mindre dansk virksomhed bruger en Tenda HG10 som internetrouter og har slået fjernadministration til for at kunne supportere kontoret hjemmefra. En angriber finder administrationssiden via en almindelig internetscanning og sender en for lang værdi i feltet urlFQDN. Routeren går ned og genstartes med angriberens indstillinger, som giver adgang til at aflytte al trafik fra kontoret.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en Tenda HG10-router med firmware 300001138. Tjek firmwareversionen i routerens administrationspanel eller kontakt jeres netværksleverandør, hvis I er i tvivl om, hvilken model og version I har.
Hvordan tjekker vi, om administrationssiden er eksponeret?
Tjek, om routerens administrationsside kan nås fra internettet ved at forsøge at tilgå den fra et netværk uden for jeres firma, eller bed en teknisk rådgiver om at teste det for jer. Er fjernadministration slået fra, er I typisk ikke direkte udsat.
Kan vi vente til weekenden med at rette op?
Nej. Der findes offentliggjort angrebskode, og angrebet kræver ingen adgangskode. Hvis administrationssiden er tilgængelig fra internettet, bør I afskærme den samme dag, I læser dette.
Findes der en officiel opdatering fra Tenda?
Der er på nuværende viden ingen officiel opdatering fra Tenda for denne sårbarhed. Følg med på Tendas support-side, og overvej alternative tiltag som netværksafskærmning eller udskiftning af routeren.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at routeren allerede er blevet udnyttet, for eksempel uventet trafik, ændrede indstillinger eller ukendte enheder på netværket. I så fald bør I vurdere, om det er en anmeldelsespligtig sikkerhedshændelse efter databeskyttelsesreglerne.
Kan vi bare slå routeren fra, indtil vi finder en løsning?
Ja, hvis routeren er kritisk for jeres drift, kan I midlertidigt afskære den fra internettet eller udskifte den med en anden enhed, mens I finder en permanent løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in Tenda HG10 300001138. This vulnerability affects the function formURL of the file /boaform/admin/formURL. Performing a manipulation of the argument Keywd/urlFQDN results in buffer overflow. The attack may be initiated remotely. The exploit has been made public and could be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.