CVE-2026-93739: Kritisk fejl i Totolink A3002MU-router
Kritisk bufferoverløb i Totolink A3002MU-routere (CVE-2026-93739) kan give angriber fuld kontrol over netværket. Tjek firmware nu.
Hvad er det?
Sårbarheden findes i routeren Totolink A3002MU med firmwareversion Hh-B20211125.1046. Fejlen sidder i funktionen formWlAc, som håndterer parameteren submit-url på siden /boafrm/formWlAc. Ved at sende et specielt udformet parameterindhold kan en angriber udløse et bufferoverløb, det vil sige at data skrives ud over den plads, programmet har afsat i hukommelsen. Det kan bruges til at overskrive hukommelse og køre egen programkode på routeren. Sårbarheden kan udnyttes over netværket, og der findes offentligt en beskrivelse af, hvordan angrebet udføres.
Hvem rammer det?
Det rammer alle, der bruger routeren Totolink A3002MU med firmware Hh-B20211125.1046. Denne model bruges typisk i mindre kontorer, filialer og hjemmekontorer, herunder hos danske SMV’er, der har sat routeren op til internetadgang eller gæstenetværk. Angrebet kræver, at angriberen har en lavt privilegeret konto eller adgang til enhedens administrationsflade, for eksempel via et gæstenetværk eller en svag adgangskode.
Hvad kan ske?
Lykkes angrebet, kan angriberen overtage routeren fuldstændigt. Det giver mulighed for at aflytte al trafik, der går igennem enheden, omdirigere brugere til falske hjemmesider og bruge routeren som springbræt videre ind i virksomhedens interne netværk. For en dansk virksomhed betyder det risiko for datatyveri, spredning til andre systemer på netværket og i værste fald et fuldt kompromitteret netværk, hvor angriberen har vedvarende adgang.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerinteraktion og med lav teknisk kompleksitet. Der kræves dog en lavt privilegeret konto på enheden, så det er ikke helt uden adgangskrav, men mange routere bruger standardadgangskoder eller har gæsteadgang, der giver den nødvendige adgang. Fordi angrebet ændrer det, systemet har adgang til udover selve routeren (scope changed), kan konsekvenserne brede sig til andre dele af netværket. Der findes en offentligt tilgængelig beskrivelse af udnyttelsen, men det er ikke oplyst, at den er set brugt i aktive angreb.
Hvad gør jeg nu?
Der findes ingen officiel opdatering fra Totolink til denne sårbarhed. Følg disse trin:
- Undersøg om I har en Totolink A3002MU med firmware Hh-B20211125.1046 i drift, og tag den ud af drift eller isolér den fra resten af netværket.
- Slå fjernadministration fra på routeren, så administrationssiden kun kan tilgås fra det lokale netværk.
- Skift alle adgangskoder på enheden, herunder administratoradgangskoden og gæstenetværkets adgangskode.
- Adskil gæstenetværk og internt netværk med VLAN eller separat udstyr, så en kompromitteret router ikke giver adgang til jeres øvrige systemer.
- Planlæg udskiftning af routeren med en model, hvor producenten løbende leverer sikkerhedsopdateringer.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan vurdere netværkets opsætning eller mistænker, at routeren allerede er kompromitteret.
Isolér eller udskift routeren nu
Vi anbefaler, at I straks kortlægger, om Totolink A3002MU er i brug hos jer, og at I isolerer eller udskifter enheden, da der ikke findes en opdatering. Det er ikke forsvarligt at vente, fordi der findes en offentligt kendt fremgangsmåde til at udnytte fejlen, og routeren ofte sidder direkte på netværkets kant. Har I ikke mulighed for at udskifte routeren med det samme, skal fjernadministration lukkes ned og netværket segmenteres, indtil en permanent løsning er på plads.
Tidslinje
Konkrete eksempler
Gæstenetværk som indgang til kontoret
En mindre dansk virksomhed bruger en Totolink A3002MU til både kontornetværk og gæste-wifi til besøgende. En angriber, der får adgang til gæstenetværket, udnytter fejlen i formWlAc til at overtage routeren. Herfra får angriberen adgang til det interne netværk, hvor virksomhedens filservere og økonomisystem ligger, og kan aflytte trafik eller sprede sig videre.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har en router af typen Totolink A3002MU med firmwareversion Hh-B20211125.1046 i drift. Tjek routerens administrationsside eller mærkat for model- og firmwareoplysninger.
Kan vi vente med at gøre noget til i morgen eller weekenden?
Nej, det bør I ikke. Der findes en offentligt kendt metode til at udnytte fejlen, og der er ingen opdatering på vej. Isolér eller sluk for fjernadgang til routeren nu, og planlæg udskiftning snarest.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ingen brugerinteraktion. Det kræver dog en form for lav adgang til enheden, for eksempel gæstenetværksadgang eller en svag adgangskode på administrationssiden.
Findes der en opdatering, vi bare kan installere?
Nej, Totolink har ikke offentliggjort en rettelse til denne sårbarhed. Løsningen er at begrænse adgangen til routeren og på sigt udskifte den med udstyr, der understøttes med sikkerhedsopdateringer.
Skal vi anmelde hændelsen til myndighederne?
Det er kun nødvendigt, hvis I konstaterer, at routeren faktisk er blevet udnyttet, og at persondata eller kritiske systemer er blevet kompromitteret. I så fald skal I vurdere anmeldepligt efter databeskyttelsesreglerne og eventuelt kontakte Center for Cybersikkerhed.
Hvordan finder vi ud af, om routeren allerede er kompromitteret?
Se efter uventede ændringer i routerens konfiguration, ukendte administratorkonti, unormal netværkstrafik eller ukendte enheder på netværket. Er I i tvivl, bør I få en ekstern part til at gennemgå loggen og opsætningen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in Totolink A3002MU Hh-B20211125.1046. This impacts the function formWlAc of the file /boafrm/formWlAc. Executing a manipulation of the argument submit-url can lead to buffer overflow. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.