CVE-2026-100715: Kritisk symlink-fejl i Froxlor sletter data
Froxlor før version 2.3.12 lader en FTP-kunde slette vilkårlige filer som root via et symlink. Opdatér til 2.3.12.
Hvad er det?
CVE-2026-100715 er en sårbarhed i det webbaserede kontrolpanel Froxlor, som mange webhoteller og kommuner bruger til at administrere FTP-konti, domæner og hjemmesider på en server med flere kunder. Når en FTP-konto slettes, sætter Froxlor en oprydningsopgave i kø, der kører som root, det vil sige med fulde systemrettigheder. Opgaven mangler en sikkerhedskontrol (kaldet fixed_homedir), som normalt forhindrer, at stien følger et symlink, en genvej der peger et andet sted hen i filsystemet. En kunde kan derfor nå at placere et symlink i sin egen FTP-mappe, inden oprydningen kører, og få root-processen til at slette mapper og filer uden for sin egen konto, herunder hos andre kunder på samme server.
Hvem rammer det?
Det rammer alle, der driver Froxlor i version 2.3.10 eller tidligere. Det gælder især webhoteller, hostingudbydere og kommuner, der bruger Froxlor til at administrere serverer med flere kunder eller afdelinger på samme fysiske eller virtuelle server. Er Froxlor kun brugt til én lukket, betroet organisation uden ekstern FTP-adgang, er risikoen mindre, men stadig til stede, hvis en medarbejder med FTP-rettigheder kan misbruges eller kompromitteres.
Hvad kan ske?
En kunde, der har lovlig FTP-adgang, kan placere et symlink, der peger på en anden kundes mappe eller på systemkritiske stier. Når vedkommendes FTP-konto derefter slettes, kører Froxlors oprydningsopgave rm -rf som root på den manipulerede sti. Resultatet kan være, at en anden kundes hjemmeside, databaser eller filer slettes permanent, eller at hele serveren går ned, fordi systemfiler forsvinder. For en dansk hostingudbyder betyder det tab af kundedata på tværs af flere virksomheder på samme tid, og mulig nedetid for alle kunder på den ramte server.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder (PR:L), altså en almindelig autentificeret FTP-konto, ingen administratoradgang. Der kræves ingen handling fra andre brugere (UI:N), og angrebet kan udføres over netværket uden kompleksitet. Konsekvensen rammer ikke fortrolighed, men fuldt ud integritet og tilgængelighed: data kan slettes, og servere kan blive utilgængelige. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet, men den tekniske beskrivelse er detaljeret nok til, at et angreb kan udvikles hurtigt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Froxlor til version 2.3.12 eller nyere, hvor fejlen er rettet.
- Gennemgå logs for FTP-kontosletninger og cron-opgave 8 (deleteFtpData) for at se, om mistænkelige symlinks er blevet oprettet før sletning.
- Indtil opdateringen er gennemført, kan I midlertidigt sætte pause på automatisk sletning af FTP-konti og håndtere sletning manuelt med kontrol af symlinks.
- Tag en frisk sikkerhedskopi af alle kundedata, så et eventuelt datatab kan genskabes.
- Gennemgå rettigheder på serveren, så FTP-brugere har mindst mulig adgang uden for egen mappe.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres Froxlor-installation allerede er blevet misbrugt, eller hvis I mangler ressourcer til at opdatere med det samme.
Opdatér inden for 7 dage
Vi anbefaler, at I opdaterer til Froxlor 2.3.12 så hurtigt som muligt, især hvis I hoster flere kunder eller afdelinger på samme server. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da sårbarheden kan udnyttes af enhver med almindelig FTP-adgang. Har I kun én betroet bruger med FTP-adgang og ingen ekstern deling af serveren, kan I vente kortvarigt, men bør stadig opdatere inden for den kommende uge.
Tidslinje
Konkrete eksempler
Webhotel med flere kunder på samme server
Et dansk webhotel bruger Froxlor til at administrere FTP-konti for 40 kundevirksomheder på samme server. En kunde opretter et symlink i sin FTP-mappe, der peger på en anden kundes hjemmesidemappe, og beder derefter om at få sin FTP-konto slettet. Root-cronjobbet følger symlinket og sletter den anden kundes filer permanent, hvilket medfører nedetid og datatab, som webhotellet skal genskabe fra sikkerhedskopi.
Ofte stillede spørgsmål
Hvordan ved vi, om vi er ramt?
Tjek jeres Froxlor-version i administrationspanelet under systeminformation. Er versionen 2.3.10 eller tidligere, er I sårbare. Version 2.3.12 og nyere er rettet.
Kan vi vente til den næste planlagte opdatering i weekenden?
Hvis I har flere kunder eller brugere med FTP-adgang på samme server, bør I ikke vente. Sårbarheden kræver kun en almindelig FTP-konto, og skaden kan ske hurtigt, når en konto slettes.
Skal vi anmelde noget til Datatilsynet?
Hvis I opdager, at persondata faktisk er blevet slettet eller ødelagt hos jeres kunder som følge af denne sårbarhed, kan det udgøre et brud på persondatasikkerheden, som skal vurderes og eventuelt anmeldes efter databeskyttelsesforordningen.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
I kan midlertidigt slå automatisk FTP-kontosletning fra eller kræve manuel godkendelse af sletninger, så en administrator kan tjekke for symlinks, inden oprydningen kører som root.
Rammer det også vores egne interne systemer uden eksterne kunder?
Risikoen er lavere, men til stede, hvis en intern medarbejders FTP-konto bliver kompromitteret eller misbrugt. Vi anbefaler stadig at opdatere.
Hvordan opdager vi, om nogen allerede har udnyttet fejlen?
Gennemgå logs for FTP-kontosletninger og se, om der er oprettet symlinks i FTP-hjemmemapper kort før en konto blev slettet. Uventede filsletninger eller nedetid på tværs af flere kundemapper er også et tegn.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Froxlor through 2.3.10 is vulnerable to arbitrary file deletion via symlink following in the FTP data deletion cron task. Cron task 8 (deleteFtpData), queued when an FTP account is deleted, calls FileDir::makeCorrectDir() without the $fixed_homedir argument, so the symlink component walk is skipped, and then executes ‘rm -rf’ as root on the resulting path with string-level guards only. Because makeCorrectDir() appends a trailing slash, GNU rm dereferences a symlink used either as an intermediate path component or as the final component. An authenticated customer who can write to the FTP home directory can plant a symlink between task insertion and cron execution, causing the root cron job to recursively delete arbitrary directory trees, resulting in cross-tenant data destruction and host denial of service. This issue is fixed in Froxlor 2.3.12.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.