CVE-2026-94101: Kritisk bufferoverløb i Netcore NBR200V2
Kritisk fejl i Netcore NBR200V2-routere kan udnyttes over netværket uden login. Ingen opdatering findes, isolér enheden nu.
Hvad er det?
En sårbarhed i Netcore NBR200V2-routere gør det muligt for en angriber at sende et særligt udformet netværkskald til funktionen vlan_load_form_uci i filen /usr/bin/routerd. Fejlen er en bufferoverløb, en hukommelsesfejl hvor programmet skriver mere data ind i en hukommelsesblok end den er beregnet til, hvilket kan bruges til at afvikle vilkårlig kode på enheden. Angrebet kræver kun lav rettighed og ingen brugerhandling, og kan udføres over netværket uden fysisk adgang til routeren. Der findes offentliggjort angrebskode, som gør sårbarheden let at afprøve for enhver med teknisk kendskab.
Hvem rammer det?
Sårbarheden rammer routere af typen Netcore NBR200V2 med firmwareversion 1.3.241127.071246. Denne model bruges ofte i mindre virksomheder og hjemmekontorer som primær internetadgang eller VPN-endepunkt. Alle virksomheder, der har enheden i drift, er potentielt eksponeret, uanset om routeren er tilgængelig direkte fra internettet eller kun internt på netværket.
Hvad kan ske?
Lykkes angrebet, kan angriberen få fuld kontrol over routeren og dermed adgang til al trafik, der passerer gennem enheden. Det åbner for aflytning af data, omdirigering af trafik til falske hjemmesider og brug af routeren som springbræt ind i virksomhedens interne netværk. For en dansk SMV kan det betyde, at kundedata og interne systemer kompromitteres, uden at det bliver bemærket i første omgang.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket, kræver kun lav kompleksitet og lav rettighed, og ingen brugerhandling er nødvendig. Det betyder, at angriberen ikke skal narre en medarbejder til at klikke på noget, men kan angribe direkte mod enheden. Der findes offentliggjort kode, der demonstrerer angrebet, så risikoen for udnyttelse er reel.
Hvad gør jeg nu?
Da leverandøren ikke har reageret på anmeldelsen, og der ikke findes en opdatering, skal I fokusere på at begrænse eksponeringen af routeren.
- Sørg for, at routerens administrationsgrænseflade og styringsfunktion routerd ikke er tilgængelig fra internettet, og afgræns adgangen til et internt, betroet netværk.
- Undersøg, om enheden kan udskiftes med en model, hvor leverandøren aktivt understøtter sikkerhedsopdateringer.
- Overvåg netværkstrafik til og fra enheden for usædvanlig aktivitet, særligt uventede forbindelser til den port, routerd lytter på.
- Segmenter netværket, så en kompromitteret router ikke giver direkte adgang til kritiske systemer eller data.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere netværkets eksponering eller planlægge udskiftning af enheden.
Isolér routeren fra internettet nu
Vi anbefaler, at I straks kontrollerer, om NBR200V2-routere i jeres netværk er tilgængelige fra internettet, og lukker den adgang. Da leverandøren ikke har svaret på anmeldelsen, bør I planlægge udskiftning af enheden inden for kort tid. Det er kun i orden at vente, hvis routeren allerede er fuldt isoleret fra internettet og kun bruges på et internt, betroet netværk uden adgang til kritiske systemer.
Tidslinje
Konkrete eksempler
Router som VPN-endepunkt hos en dansk SMV
En mindre dansk virksomhed bruger en Netcore NBR200V2 som VPN-endepunkt for medarbejdere, der arbejder hjemmefra. Routeren er tilgængelig fra internettet, så medarbejdere kan oprette forbindelse. En angriber udnytter sårbarheden til at overtage routeren og får dermed indblik i den trafik, der går gennem VPN-forbindelsen, herunder adgangskoder og interne systemadresser.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Kontrollér, om jeres netværk har en Netcore NBR200V2-router med firmwareversion 1.3.241127.071246. Findes enheden, skal I gennemgå, hvordan den er placeret i netværket og om den er tilgængelig fra internettet.
Findes der en sikkerhedsopdatering?
Nej. Leverandøren er blevet kontaktet tidligt i forløbet, men har ikke reageret, og der er ingen udmeldt opdatering. I skal derfor selv begrænse risikoen gennem netværksadskillelse eller udskiftning af enheden.
Kan vi vente til weekenden med at reagere?
Det afhænger af, om routeren er tilgængelig fra internettet. Er den det, bør I lukke adgangen samme dag. Er den allerede isoleret på et internt, betroet netværk, kan I planlægge udskiftningen mere roligt.
Hvordan tjekker vi, om routeren allerede er udnyttet?
Se efter uventede genstarter, ukendte konfigurationsændringer eller usædvanlig udgående trafik fra enheden. Er I i tvivl, bør I få en teknisk gennemgang af enheden og logdata fra jeres netværksudstyr.
Skal vi anmelde dette til myndighederne?
Hvis I konstaterer, at enheden er blevet udnyttet og persondata eller kundedata er kompromitteret, kan I være forpligtet til at anmelde det som et sikkerhedsbrud til Datatilsynet. Er der kun tale om en potentiel sårbarhed uden konstateret misbrug, er der ikke krav om anmeldelse.
Kan vi bruge en firewall som midlertidig løsning?
Ja, en firewall-regel, der blokerer adgang til routerens styringsfunktion fra internettet, reducerer risikoen betydeligt. Det er dog en midlertidig løsning, indtil enheden kan udskiftes med en, der er aktivt understøttet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in Netcore NBR200V2 1.3.241127.071246. The affected element is the function vlan_load_form_uci of the file /usr/bin/routerd. The manipulation of the argument wan_num leads to buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.