CVE-2026-94003: Kritisk fejl i Comfast CF-N1-S router
Kritisk bufferoverløb i Comfast CF-N1-S routere gør det muligt at overtage enheden uden login. Isolér den fra internettet i dag.
Hvad er det?
Sårbarheden er et bufferoverløb i stakken, en fejl hvor programmet skriver mere data til en hukommelsesblok end den kan rumme, så angriberen kan overskrive kontroldata og køre egen kode (CVE-2026-94003). Fejlen sidder i funktionen get_css_path_from_uri i filen /cgi-bin/mbox-config, som er en del af den webbaserede administrationsside på Comfast CF-N1-S. Angrebet kræver ingen login og ingen handling fra en bruger, kun netværksadgang til enhedens webgrænseflade. Detaljer om fejlen og en fremgangsmåde til at udnytte den er allerede offentliggjort.
Hvem rammer det?
Det rammer virksomheder og kommuner, der bruger Comfast CF-N1-S med firmwareversion 2.6.0.1, typisk som trådløs adgangspunkt eller router i mindre netværk, butikker eller gæstenetværk. Er administrationsgrænsefladen tilgængelig fra internettet eller fra et usikret internt netværk, er enheden sårbar.
Hvad kan ske?
En angriber kan sende en manipuleret forespørgsel til enheden og få den til at køre egen kode, hvilket i praksis giver fuld kontrol over routeren. Da sårbarheden ændrer omfanget af, hvad angriberen kan påvirke (scope changed), kan angrebet også bruges som springbræt til at aflytte, ændre eller afbryde trafik i resten af netværket, ikke kun på selve enheden.
Hvor alvorligt er det?
CVSS-scoren er 10,0 ud af 10, det højeste niveau. Angrebet kræver ingen login og ingen brugerhandling, og det kan udføres over netværket, også fra internettet hvis administrationssiden er eksponeret. Der er offentliggjort en metode til at udnytte fejlen, men vi har ikke set bekræftede rapporter om aktiv udnyttelse i drift.
Hvad gør jeg nu?
Der findes endnu ikke en officiel opdatering fra Comfast, så handlingerne herunder handler om at begrænse angrebsfladen.
- Afbryd adgang til enhedens webadministration fra internettet med det samme, og sørg for at den kun kan tilgås fra et betroet internt netværk.
- Undersøg om jeres netværk indeholder Comfast CF-N1-S enheder med firmware 2.6.0.1, og kortlæg hvor de er placeret.
- Segmentér enheden på et separat VLAN, så et eventuelt kompromis ikke spreder sig til resten af netværket.
- Følg Comfasts hjemmeside eller supportkanaler for en kommende firmwareopdatering, og installér den så snart den udkommer.
- Overvej at udskifte enheden, hvis producenten ikke leverer en opdatering inden for rimelig tid.
- Kontakt os, hvis I er i tvivl om, hvordan enheden er eksponeret, eller hvis I mangler ressourcer til at segmentere netværket selv.
Afbryd internetadgang til enheden i dag
Vi anbefaler, at I straks lukker administrationsgrænsefladen på Comfast CF-N1-S for adgang fra internettet, da der ikke findes en opdatering endnu, og en udnyttelsesmetode er offentligt kendt. Det er ikke forsvarligt at vente, fordi angrebet kræver hverken login eller brugerhandling. Hold øje med producentens meddelelser om en firmwareopdatering, og kontakt os, hvis I skal have hjælp til at afgrænse eller udskifte enheden.
Tidslinje
Konkrete eksempler
Gæstenetværk i en mindre virksomhed
En dansk detailbutik bruger en Comfast CF-N1-S som adgangspunkt til gæstenetværket, og administrationssiden er tilgængeligt uden begrænsning fra internettet af hensyn til fjernsupport. En angriber finder enheden ved at scanne for åbne administrationsgrænseflader, sender en manipuleret forespørgsel og får kørt egen kode på enheden. Herfra kan angriberen aflytte trafik fra gæstenetværket og forsøge at bevæge sig videre ind i butikkens interne systemer.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger den sårbare enhed?
Tjek modelnavn og firmwareversion på jeres netværksudstyr. Sårbarheden gælder Comfast CF-N1-S med firmware 2.6.0.1. Har I ikke selv opsat udstyret, kan I finde oplysningerne i enhedens administrationsside under systeminformation.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebet kræver ingen login og kan udføres fra internettet, og en metode til at udnytte fejlen er allerede offentliggjort. Vi anbefaler at lukke adgangen til administrationssiden samme dag, I læser dette.
Er der en opdatering, vi kan installere?
Der er ikke offentliggjort en officiel opdatering fra Comfast på tidspunktet for offentliggørelsen. Indtil videre er den vigtigste beskyttelse at fjerne enhedens webadministration fra internettet og segmentere den i netværket.
Kan vi bare slå fjernadministration fra i stedet for at opdatere?
Det reducerer risikoen markant, men fjerner den ikke helt, hvis en angriber allerede har adgang til det interne netværk. Kombinér derfor lukning af fjernadgang med netværkssegmentering af enheden.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at enheden faktisk er blevet kompromitteret, og at persondata eller kritiske systemer er berørt. Selve sårbarheden uden tegn på misbrug udløser ikke i sig selv en anmeldelsespligt.
Hvor stor er risikoen, hvis administrationssiden kun er tilgængelig internt?
Risikoen er lavere, men ikke fjernet. En angriber, der først har fået fat i et internt netværk, for eksempel via en medarbejders computer, kan stadig udnytte fejlen. Segmentering af enheden begrænser skaden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in Comfast CF-N1-S 2.6.0.1. Impacted is the function get_css_path_from_uri of the file /cgi-bin/mbox-config of the component Web Management Interface. The manipulation leads to stack-based buffer overflow. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.