CVE-2026-93741: Kritisk fejl i Totolink A3002MU-router
Kritisk bufferoverløb i Totolink A3002MU-routere kan udnyttes uden login. Isolér eller udskift routeren nu.
Hvad er det?
CVE-2026-93741 er et bufferoverløb, en fejl hvor et program skriver mere data ind i en hukommelsesblok end den kan rumme, så angriberen kan overskrive og styre programmets kørsel. Fejlen findes i funktionen formWlWds i filen /boafrm/formWlWds på Totolink A3002MU-routere med firmwareversion Hh-B20211125.1046. Ved at manipulere parameteren submit-url i en netværksforespørgsel kan en angriber udløse overløbet og få kontrol over enheden uden at logge ind. Kode til at udnytte sårbarheden er offentliggjort.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommunale institutioner, der bruger Totolink A3002MU-routere med firmware Hh-B20211125.1046, typisk som internetadgang på kontorer, i mindre filialer eller som gæstenetværk. Er administrationsgrænsefladen tilgængelig fra internettet, kan angreb ske uden fysisk adgang til lokalet.
Hvad kan ske?
En angriber kan fra internettet, uden brugernavn eller kodeord, overtage fuld kontrol med routeren. Herfra kan angriberen aflytte og omdirigere trafik, ændre DNS-indstillinger så medarbejdere ledes til falske sider, eller bruge routeren som indgang til det interne netværk. Enheden kan også indlemmes i et botnet og bruges til angreb mod andre.
Hvor alvorligt er det?
CVSS-score er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskode, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er offentliggjort kode til at udnytte sårbarheden, så tekniske barrierer for angreb er lave.
Hvad gør jeg nu?
Følg trinene i denne rækkefølge for at lukke hullet og begrænse skaden:
- Undersøg om I bruger en Totolink A3002MU-router med firmware Hh-B20211125.1046, og find ud af om administrationsgrænsefladen er tilgængelig fra internettet.
- Slå fjernadministration fra, så routerens indstillingsside kun kan tilgås fra det interne netværk.
- Tjek Totolinks hjemmeside for en opdateret firmwareversion. Findes der ingen rettelse, skal enheden isoleres bag en firewall eller udskiftes med en understøttet model.
- Skift standardadgangskoder på routeren og segmenter netværket, så en kompromitteret router ikke giver direkte adgang til servere og medarbejdersystemer.
- Gennemgå logs for usædvanlig trafik eller uventede genstarter, der kan tyde på forsøg på udnyttelse.
- Kontakt en ekstern sikkerhedspartner, hvis I ikke selv kan vurdere netværkets eksponering eller udskifte hardwaren inden for kort tid.
Isolér routeren inden for 24 timer
Vi anbefaler, at I straks fjerner routerens administrationsgrænseflade fra internettet og undersøger, om en opdateret firmware findes. Er der ingen rettelse fra Totolink, bør enheden udskiftes med en understøttet model, da sårbarheden ikke kan lukkes på anden vis. Det er kun forsvarligt at vente, hvis routeren allerede er fuldt isoleret fra internettet og ikke håndterer forretningskritisk trafik.
Tidslinje
Konkrete eksempler
Gæstenetværk i mindre dansk virksomhed
En mindre virksomhed bruger en Totolink A3002MU til gæstenetværk med administration tilgængelig fra internettet for nem fjernsupport. En angriber sender en manipuleret forespørgsel til submit-url-parameteren og overtager routeren. Herfra omdirigeres medarbejdernes trafik til en falsk loginside, hvorfra angriberen indsamler adgangskoder til virksomhedens systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Log ind på routerens administrationsside og tjek modelnavn og firmwareversion under systeminformation. Er modellen Totolink A3002MU og firmwareversionen Hh-B20211125.1046 eller ældre, er enheden ramt.
Kan vi vente til weekenden med at gøre noget?
Nej, ikke hvis routerens administrationsgrænseflade er tilgængelig fra internettet. Angrebskoden er offentliggjort, og angrebet kræver hverken login eller brugerhandling, så risikoen løber, indtil adgangen er lukket.
Er der en opdatering, vi kan installere?
Der er på offentliggørelsestidspunktet ikke oplyst en officiel rettelse fra Totolink. Tjek producentens hjemmeside for nyere firmware, og udskift enheden hvis ingen rettelse findes.
Skal vi anmelde hændelsen, hvis routeren er blevet udnyttet?
Har I tegn på, at routeren er kompromitteret og persondata eller forretningskritiske systemer er berørt, bør I vurdere anmeldelse til Datatilsynet efter reglerne om sikkerhedsbrud, og eventuelt kontakte CFCS.
Kan vi bare beskytte routeren med en adgangskode i stedet?
Nej. Sårbarheden kræver ikke login, så en stærkere adgangskode på administrationssiden stopper ikke angrebet. Den eneste effektive beskyttelse er at lukke fjernadgang, isolere enheden eller udskifte den.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in Totolink A3002MU Hh-B20211125.1046. Affected by this vulnerability is the function formWlWds of the file /boafrm/formWlWds. The manipulation of the argument submit-url results in buffer overflow. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.