یک آسیب‌پذیری امنیتی با شناسه CVE-2026-101187 در هاب‌های خانه هوشمند مدل Ziroom ZHOME A0101 (نسخه فرم‌ور 1.0.1.0) شناسایی شده است. این نقص امنیتی که دارای امتیاز شدت 8.5 است، به مهاجم اجازه می‌دهد تا دستورات سیستم‌عامل را به صورت غیرمجاز روی دستگاه اجرا کند.
جزئیات فنی
این آسیب‌پذیری در بخش USB Device Management API و به‌طور مشخص در تابع pop_usb_device در فایل usr/lib/lua/luci/controller/api/zrUsb.lua رخ داده است. مهاجم با دستکاری آرگومان path، می‌تواند منجر به Command Injection شود. اگرچه برای بهره‌برداری از این نقص، مهاجم باید دارای دسترسی مدیریت (Admin Access) باشد، اما در صورت موفقیت، امکان اجرای کامل کد از راه دور (RCE) فراهم می‌شود.
وضعیت فعلی و ریسک
- وضعیت اکسپلویت: کد اکسپلویت و اثبات مفهوم (PoC) به صورت عمومی منتشر شده است.
- پاسخ سازنده: طبق گزارش‌ها، سازنده دستگاه با وجود اطلاع از این نقص، هیچ پاسخی برای رفع آن ارائه نکرده است.
- دامنه اثرگذاری: این حمله می‌تواند به صورت ریموت (Remote) انجام شود و کنترل کامل دستگاه را در اختیار مهاجم قرار دهد.
توصیه‌های امنیتی و مقابله
با توجه به عدم ارائه وصله توسط سازنده، مدیران شبکه و متخصصان امنیت توصیه می‌کنند اقدامات زیر را به سرعت اجرا کنند:
- شناسایی دارایی‌ها: تمامی هاب‌های Ziroom ZHOME A0101 با فرم‌ور 1.0.1.0 را در شبکه شناسایی کنید.
- محدود کردن دسترسی: رابط مدیریت وب (LuCI) را از دسترسی شبکه‌های غیرقابل اعتماد مسدود کنید.
- ایزوله‌سازی: دستگاه‌ها را در یک VLAN مجزا یا شبکه Guest قرار دهید تا دسترسی مستقیم به اینترنت ورودی (Inbound) قطع شود.
- مدیریت دسترسی: دسترسی مدیریتی را تنها از طریق یک VPN سخت‌افزاری یا Jump Host فراهم کنید و رمزهای عبور مدیریت را تغییر دهید.
- غیرفعال‌سازی: در صورت امکان، قابلیت USB Device Management را از تنظیمات دستگاه غیرفعال کنید.
