CVE-2026-93738: Kritisk fejl i Totolink A3002MU-router

CVE-2026-93738 er en sårbarhed i routeren Totolink A3002MU med firmwareversion Hh-B20211125.1046. Fejlen ligger i funktionen formSchedule i filen /boafrm/formSchedule, hvor parameteren webpage kan manipuleres til at skabe et bufferoverløb: programmet skriver mere data ind i et hukommelsesområde, end det er beregnet til, og overskriver dermed tilstødende hukommelse. En angriber kan udnytte dette til at afvikle egen kode på routeren. Sårbarheden er klassificeret under CWE-119 og CWE-120, som begge dækker fejl i grænsekontrol ved kopiering af data. Der findes offentliggjort kode, der demonstrerer, hvordan fejlen kan udnyttes.

Sårbarheden rammer virksomheder og hjemmekontorer, der bruger Totolink A3002MU-routere med firmwareversion Hh-B20211125.1046. Det gælder både routere, der bruges som primær internetadgang, og routere, der fungerer som fjernadgangspunkt til et kontornetværk. Hvis administrationsgrænsefladen er tilgængelig fra internettet, er risikoen særligt høj.

En angriber, der har eller opnår en lavrettighedskonto på routerens administrationsside, kan sende en manipuleret forespørgsel til formSchedule og udnytte bufferoverløbet til at få fuld kontrol over enheden. Fra den position kan angriberen aflytte trafik, omdirigere DNS-opslag, oprette en bagdør til det interne netværk eller bruge routeren som springbræt til andre systemer i virksomheden. Da angrebet kan udføres over netværket uden brugerinteraktion fra en administrator, kan det ske uden at nogen i virksomheden lægger mærke til det.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og lav kompleksitet, men forudsætter, at angriberen har en konto med lave rettigheder til routerens webgrænseflade. Der kræves ingen handling fra en bruger eller administrator. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, og fejlen kan påvirke systemer uden for routerens eget sikkerhedsdomæne. Der findes offentliggjort udnyttelseskode, men det er ikke bekræftet, at fejlen aktivt udnyttes i angreb.

Der er ikke offentliggjort en officiel firmwareopdatering, der lukker hullet, så I skal reducere risikoen med andre midler.

1. Fjern administrationsgrænsefladen fra internettet: deaktivér fjernadministration og sørg for, at formSchedule og andre boafrm-sider kun kan nås fra jeres interne netværk.
2. Skift alle adgangskoder til routerens administration, herunder eventuelle lavrettighedskonti, og fjern konti, der ikke er nødvendige.
3. Segmentér netværket, så routeren ikke har direkte adgang til kritiske servere eller data, hvis den bliver kompromitteret.
4. Undersøg, om Totolink har udsendt en ny firmwareversion til A3002MU, og opdatér, så snart den findes.
5. Hvis routeren ikke længere modtager opdateringer fra producenten, bør I planlægge udskiftning til en model med aktiv sikkerhedssupport.
6. Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvordan routeren er eksponeret, eller hvis I har mistanke om, at den allerede er kompromitteret.