CVE-2026-54229: Sårbarhed i ABRT på Linux-servere

CVE-2026-54229 er en sårbarhed i abrt-dbus, en del af ABRT (Automatic Bug Reporting Tool), som bruges på Linux-systemer — særligt Red Hat- og Fedora-baserede servere — til automatisk at registrere og rapportere programnedbrud.

Fejlen ligger i en metode kaldet ChownProblemDir, som ændrer ejerskabet af en mappe med fejldata. Problemet er, at metoden gør dette på præcis det forkerte tidspunkt: mens systemet stadig arbejder med mappen med forhøjede rettigheder. En angriber med begrænset adgang til systemet kan udnytte dette lille vindue til at snige sig ind og overtage kontrollen over mappen — et såkaldt race condition-angreb.

Sårbarheden rammer virksomheder og organisationer der driver Linux-servere baseret på Red Hat Enterprise Linux (RHEL), CentOS, Fedora eller kompatible distributioner, hvor ABRT-pakken er installeret og aktiv.

Det er særligt relevant hvis:

• Du har interne Linux-servere til fx webhosting, databaser eller forretningssystemer
• Du bruger en managed server hos en hostingudbyder med RHEL/CentOS
• Din IT-leverandør administrerer Linux-miljøer på dine vegne

Windows-brugere og rene cloud-tjenester uden Linux-backend er ikke berørt.

Hvis en angriber allerede har en begrænset brugerkonto på dit Linux-system — fx via et kompromitteret servicekonti eller en anden sårbarhed — kan vedkommende udnytte denne fejl til at:

• Overtage systemfiler: Angriberen kan ændre ejerskabet af en priviligeret mappe og de filer den indeholder, så de tilhører angriberens konto
• Eskalere rettigheder: Med kontrol over disse filer kan angriberen potentielt afvikle ondsindet kode med systemrettigheder (root-niveau)
• Læse fortrolige data: Fejlrapporter kan indeholde hukommelsesdumps (snapshots af hvad systemet kørte) med adgangskoder, tokens eller kundedata
• Sabotere systemet: Filer kan ændres eller slettes, hvilket kan føre til nedbrud eller datatab

Bemærk at angriberen skal have lokal adgang til systemet — det er ikke muligt at udnytte fejlen direkte fra internettet.

Sårbarheden er vurderet til CVSS 7.0 — Alvorlig. Det betyder at konsekvenserne ved en vellykket udnyttelse er meget alvorlige: fuld kompromittering af fortrolighed, integritet og tilgængelighed på det berørte system.

Det dæmpende element er, at angrebet kræver:

• Lokal adgang til systemet (angriberen skal allerede have en brugerkonto)
• Høj angrebskompleksitet — timingen skal ramme et præcist vindue, hvilket kræver teknisk snilde og evt. flere forsøg

Disse faktorer gør det sværere at udnytte end fjernangreb, men det reducerer ikke alvoren af konsekvenserne, hvis det lykkes. Kombineret med andre sårbarheder — fx en svag adgangskode eller en eksponeret SSH-adgang — kan denne fejl være det afgørende skridt mod fuld systemkompromittering.

Følg disse trin for at beskytte dit system mod CVE-2026-54229:

1. Find ud af om du er berørt: Spørg din IT-ansvarlige eller leverandør om jeres Linux-servere kører ABRT (abrt-dbus-pakken). På RHEL/CentOS kan man tjekke ved at køre kommandoen rpm -q abrt.
2. Opdatér straks: Tjek om Red Hat eller din Linux-distribution har udsendt en sikkerhedsopdatering til abrt. Anvend opdateringen via systemets pakkehåndtering (yum update abrt eller dnf update abrt).
3. Overvej midlertidigt at deaktivere ABRT: Hvis en patch ikke er tilgængelig endnu, kan du deaktivere abrt-dbus-tjenesten midlertidigt. ABRT er et diagnosticeringsværktøj — ikke kritisk for daglig drift.
4. Gennemgå brugeradgange: Sørg for at kun betroede brugere har lokal adgang til jeres Linux-servere. Fjern unødvendige konti og tjek at SSH-adgang kræver stærke nøgler eller MFA (multifaktorgodkendelse).
5. Kontakt jeres IT-leverandør: Hvis I ikke selv administrerer jeres servere, så kontakt jeres leverandør og bed om bekræftelse på at denne sårbarhed er håndteret.