CVE-2026-94100: Kritisk fejl i Netcore NBR200V2-router
Alvorlig fejl i Netcore NBR200V2 giver fuld kontrol over routeren. Ingen opdatering findes, isolér enheden fra internettet.
Hvad er det?
CVE-2026-94100 er en fejl i routeren Netcore NBR200V2 med firmware 1.3.241127.071246. Fejlen findes i funktionen wan_config_set_vlan i filen /usr/bin/routerd, som håndterer opsætning af VLAN på WAN-porten (den port, der forbinder routeren til internettet). Ved at manipulere parameteren vlan_wanX.ports kan en angriber skabe et bufferoverløb, det vil sige at der skrives mere data til hukommelsen, end der er afsat plads til. Det kan bruges til at få routeren til at gå ned eller til at køre kode, som angriberen bestemmer. Angrebet kan udføres over netværket, og der findes offentligt tilgængelig kode, som demonstrerer, hvordan sårbarheden udnyttes.
Hvem rammer det?
Sårbarheden rammer virksomheder og institutioner, der bruger routeren Netcore NBR200V2 med firmware version 1.3.241127.071246. Det gælder typisk mindre kontorer, filialer eller produktionssteder, hvor denne type router bruges til at forbinde det lokale netværk til internettet. Alle enheder med den nævnte firmwareversion må anses for sårbare, uanset hvordan de i øvrigt er konfigureret.
Hvad kan ske?
En angriber, der får adgang til routerens administrationsfunktioner, kan udnytte fejlen til at overtage kontrollen med enheden. Det giver mulighed for at aflytte og omdirigere al trafik, der går gennem routeren, ændre netværksopsætningen eller bruge routeren som adgangsvej videre ind i virksomhedens netværk. For en dansk virksomhed betyder det risiko for, at følsomme oplysninger lækkes, og at interne systemer bag routeren bliver kompromitteret uden at det opdages med det samme.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerinteraktion og med lav kompleksitet, men det kræver, at angriberen allerede har en vis lav adgang til routerens administrationsfunktioner, for eksempel via et kompromitteret internt netværk eller en svag adgangskode. Når først den adgang findes, kan angriberen opnå fuld kontrol med fortrolighed, integritet og tilgængelighed. Der er ikke rapporteret om aktiv udnyttelse i angreb, men angrebskoden er offentliggjort, og leverandøren har ikke reageret på henvendelser.
Hvad gør jeg nu?
Da leverandøren ikke har udsendt en rettelse, handler indsatsen om at begrænse adgangen til enheden mest muligt.
- Deaktivér fjernadministration af routeren, så administrationsgrænsefladen kun kan tilgås fra det lokale netværk.
- Skift alle adgangskoder til routerens administration til stærke, unikke koder.
- Segmentér netværket, så routeren ikke har direkte adgang til kritiske servere og systemer.
- Overvåg netværkstrafik for usædvanlig aktivitet til og fra routeren.
- Overvej at udskifte enheden med en router fra en leverandør, der reagerer på sikkerhedshenvendelser.
- Kontakt Auroa, hvis I er i tvivl om, hvordan jeres netværk skal segmenteres, eller om routeren bør udskiftes.
Ingen opdatering findes, isolér nu
Vi anbefaler, at I straks lukker adgangen til routerens administrationsgrænseflade fra internettet og segmenterer netværket, så en kompromitteret router ikke giver adgang til resten af virksomheden. Da leverandøren ikke har reageret på henvendelser om sårbarheden, bør I samtidig planlægge udskiftning af enheden. Det er ikke forsvarligt at vente, da angrebskoden allerede er offentligt tilgængelig.
Tidslinje
Konkrete eksempler
Kompromitteret filialrouter i mindre dansk virksomhed
En mindre dansk virksomhed bruger en Netcore NBR200V2 til at forbinde en filial til internettet. En medarbejders enhed på det lokale netværk bliver inficeret med malware, som herefter udnytter sårbarheden i routeren for at få fuld kontrol over den. Angriberen bruger derefter routeren som springbræt til at aflytte trafik og forsøge adgang til virksomhedens fildeling og økonomisystem.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en Netcore NBR200V2-router med firmware version 1.3.241127.071246. Tjek firmwareversionen i routerens administrationsgrænseflade eller kontakt den, der har opsat netværket.
Hvordan tjekker vi, hvilken firmwareversion vi kører?
Log ind på routerens administrationsside, typisk via en lokal IP-adresse, og find versionsoplysningerne under system- eller enhedsinformation. Kan I ikke tilgå routeren, bør I kontakte den, der har installeret den.
Kan vi vente til weekenden med at gøre noget?
Nej. Der findes offentligt tilgængelig angrebskode, og der er ingen opdatering fra leverandøren. Begræns adgangen til routeren, så snart det kan lade sig gøre.
Findes der en opdatering, vi bare skal installere?
Nej. Leverandøren Netcore er blevet kontaktet, men har ikke reageret, og der findes derfor ingen officiel rettelse på nuværende tidspunkt.
Skal vi anmelde det til myndighederne?
Hvis I opdager tegn på, at routeren rent faktisk er blevet kompromitteret, og det har berørt persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler for databrud. Selve sårbarheden i sig selv udløser ikke en anmeldelsespligt.
Kan vi bruge routeren, hvis vi bare lukker for fjernadministration?
Det reducerer risikoen betydeligt, men fjerner den ikke helt, da angrebet også kan udføres af nogen med adgang til det lokale netværk. Segmentering af netværket og på sigt udskiftning af enheden bør fortsat indgå i planen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in Netcore NBR200V2 1.3.241127.071246. Impacted is the function wan_config_set_vlan of the file /usr/bin/routerd of the component WAN VLAN Reconfiguration. Executing a manipulation of the argument vlan_wanX.ports can lead to buffer overflow. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.