CVE-2024-42025: Rettighedseskalering i Unifi Network
Fejl i Unifi Network Application lader en lokal bruger med shell-adgang opnå fulde root-rettigheder. Opdatér til version 8.4.59 eller nyere.
Hvad er det?
CVE-2024-42025 er en kommandoinjektion, en sårbarhed hvor et program uforvarende lader en bruger indsætte og udføre egne systemkommandoer, i selvhostede Unifi Network Servere fra Ubiquiti. En bruger, der allerede har shell-adgang (kommandolinjeadgang) til serveren med den almindelige unifi-konto, kan udnytte fejlen til at eskalere sine rettigheder til root, altså den øverste administratorkonto på Linux-systemet. Fejlen kræver ikke internetadgang til at udnytte, men forudsætter at man allerede er logget ind lokalt på serveren.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der selv hoster Unifi Network Application på egen Linux-server, altså ikke skybaserede eller Cloud Key-løsninger administreret af Ubiquiti. Det gælder versioner tidligere end 8.4.59. Danske virksomheder med eget netværksudstyr fra Ubiquiti, der administrerer switche, accesspunkter og firewalls via en selvhostet controller, bør undersøge deres opsætning.
Hvad kan ske?
Har en angriber eller en medarbejder med onde hensigter først fået almindelig shell-adgang til serveren, kan de bruge fejlen til at opnå fuld kontrol over hele systemet. Det giver mulighed for at læse og ændre al data på serveren, installere bagdøre, eller bruge serveren som springbræt til resten af netværket. Da Unifi-controlleren ofte styrer netværksinfrastruktur, betyder root-adgang i praksis kontrol over virksomhedens netværk.
Hvor alvorligt er det?
CVSS-score er 7,8 ud af 10, alvorlig. Angrebsvektoren er lokal, det kræver altså allerede adgang til systemet, men til gengæld kræves ingen brugerinteraktion og angrebet er nemt at udføre teknisk (lav kompleksitet). Der kræves lave privilegier i forvejen (en almindelig unifi-brugerkonto). Der er ingen offentlig dokumentation for aktiv udnyttelse i skarpe angreb, men fejlen udgør en reel trappesten for angribere, der allerede har fået fodfæste på serveren, for eksempel via stjålne loginoplysninger eller en anden sårbarhed.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Unifi Network Application til version 8.4.59 eller nyere på alle selvhostede servere.
- Gennemgå, hvem der har unifi-brugerkontoen eller anden shell-adgang til serveren, og fjern adgang for medarbejdere og eksterne, der ikke har brug for det.
- Begræns netværksadgang til serveren, så kun betroede administratorer kan logge ind, for eksempel via VPN eller adgangsbegrænsning på firewall.
- Tjek logfiler for uventet aktivitet fra unifi-kontoen, herunder forsøg på at eskalere rettigheder eller kørsel af uventede kommandoer.
- Overvej at flytte til Ubiquitis skybaserede eller Cloud Key-løsning, hvis I ikke har ressourcer til selv at holde serveren opdateret løbende.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om jeres opsætning er ramt.
Opdatér ved næste planlagte vindue
Vi anbefaler, at I opdaterer selvhostede Unifi Network Application-servere til version 8.4.59 eller nyere ved næste planlagte servicevindue, da der kræves lokal adgang for at udnytte fejlen og der ikke er tegn på aktiv udnyttelse. Sørg samtidig for at begrænse, hvem der har shell-adgang til serveren, da det er den reelle forudsætning for angrebet. Bruger I Ubiquitis skyløsning eller en Cloud Key, er I ikke ramt af denne konkrete sårbarhed, men bør stadig holde jer opdateret.
Tidslinje
Konkrete eksempler
Kompromitteret servicekonto giver netværkskontrol
En dansk virksomhed har outsourcet drift af sit netværk til en ekstern leverandør, som har fået en unifi-brugerkonto med begrænset shell-adgang til at foretage opdateringer. Bliver leverandørens loginoplysninger stjålet, eller misbruger en tidligere medarbejder sin adgang, kan sårbarheden bruges til at eskalere til root og dermed få fuld kontrol over virksomhedens netværksinfrastruktur.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I selv hoster Unifi Network Application på en Linux-server, og serveren kører en version tidligere end 8.4.59. Bruger I Ubiquitis Cloud Key eller skyløsning, er I ikke omfattet af denne konkrete fejl.
Hvordan tjekker vi vores version?
Log ind i Unifi Network Application og se versionsnummeret under indstillinger eller systemoplysninger. Er versionen lavere end 8.4.59, bør den opdateres.
Kan vi vente til weekenden med at opdatere?
Ja, det er forsvarligt at vente til næste planlagte servicevindue, da udnyttelse kræver, at en angriber allerede har lokal shell-adgang til serveren. Sørg dog for i mellemtiden at begrænse, hvem der har den adgang.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen brugerinteraktion, men angriberen skal allerede have en gyldig konto med shell-adgang til serveren, for eksempel den almindelige unifi-brugerkonto.
Skal vi anmelde noget til myndighederne?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet og data er kompromitteret. Så kan det udløse pligt til at anmelde til Datatilsynet efter reglerne om databeskyttelse.
Påvirker fejlen selve netværksudstyret, som switche og accesspunkter?
Fejlen sidder i controller-softwaren, altså den server der administrerer udstyret. Får en angriber root-adgang til serveren, kan de dog i praksis også få kontrol over det udstyr, serveren styrer.
Ramte produkter
Ui: Unifi Network Application
< 8.4.59
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A Command Injection vulnerability found in a Self-Hosted UniFi Network Servers (Linux) with UniFi Network Application (Version 8.3.32 and earlier) allows a malicious actor with unifi user shell access to escalate privileges to root on the host device.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.