CVE-2026-90605: Kritisk fejl i Totolink A3002MU-router

CVE-2026-90605 er en svaghed i router-modellen Totolink A3002MU med firmware Hh-B20211125.1046. Fejlen sidder i funktionen formFilter i webgrænsefladen boa, som styrer routerens administrationsside. Ved at sende et manipuleret ip6addr-parameter kan en angriber udløse et bufferoverløb, det vil sige at data skrives uden for det hukommelsesområde, de er tiltænkt. Det kan bruges til at få routeren til at køre vilkårlig kode, som angriberen selv bestemmer.

Sårbarheden rammer virksomheder og private, der bruger routeren Totolink A3002MU med firmware Hh-B20211125.1046. Modellen bruges typisk i mindre kontorer, filialer og hjemmekontorer som internetrouter eller trådløst adgangspunkt. Der er ikke oplyst andre berørte produkter eller versioner.

Får en angriber først lavt niveau af adgang til routerens administrationsside, for eksempel via et svagt eller ikke-skiftet standardkodeord, kan bufferoverløbet bruges til at overtage routeren helt. Herfra kan angriberen aflytte og omdirigere al trafik gennem routeren, ændre DNS-indstillinger, oprette en bagdør til det interne netværk eller bruge enheden som afsæt til yderligere angreb mod andre systemer på kontoret.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden at angriberen skal narre en bruger til at klikke på noget. Der kræves dog et lavt niveau af login til routerens administrationsside, hvilket i praksis ofte er let opnåeligt, fordi mange routere kører med standardkodeord. En metode til at udnytte fejlen er offentliggjort, men det er ikke oplyst, at den er set brugt i konkrete angreb.

Følg punkterne i denne rækkefølge:

1. Tjek om I bruger en Totolink A3002MU med firmware Hh-B20211125.1046, og find ud af om Totolink har udsendt en ny firmwareversion, der lukker hullet.
2. Er der en opdatering, installér den med det samme. Er der ikke, kobl routerens administrationsside fra internettet, så den kun kan tilgås fra det interne netværk.
3. Skift alle kodeord til administrationssiden til stærke, unikke kodeord, og fjern eventuelle standardkonti.
4. Deaktivér fjernadministration og unødvendige funktioner som filterindstillinger for IPv6, hvis I ikke bruger dem.
5. Overvej at udskifte routeren, hvis Totolink ikke udsender en opdatering, da modellen kan være for gammel til fortsat support.
6. Er I i tvivl om, hvorvidt jeres netværk allerede er ramt, eller mangler I ressourcer til at gennemgå routerens konfiguration, så få hjælp fra en ekstern sikkerhedsrådgiver.