CVE-2026-100716: Kritisk root-sårbarhed i Froxlor
Fejl i Froxlors eksportfunktion (CVE-2026-100716) lader en almindelig kunde få root på hele serveren. Opdatér til 2.3.12.
Hvad er det?
Froxlor er et administrationspanel, som webhoteller og servicevirksomheder bruger til at drive og fakturere kundekonti på delte servere. Sårbarheden sidder i den funktion, der eksporterer kundedata via en planlagt opgave (cron), som kører med root-rettigheder. Fejlen er en såkaldt symlink-sårbarhed: systemet kontrollerer ikke korrekt, om en mappe undervejs i eksportstien er blevet erstattet med en genvej (symlink) til et andet sted på serveren, for eksempel systemmappen /etc. En kunde kan derfor snyde eksportjobbet til at ændre ejerskabet på en vilkårlig systemmappe til sit eget brugernavn, hvilket giver fuld kontrol over serveren.
Hvem rammer det?
Sårbarheden rammer alle, der driver egne servere med Froxlor version 2.3.10 og tidligere. Det gælder typisk danske webhoteller, hostingpartnere og it-afdelinger, der administrerer flere kunders webspace på samme fysiske eller virtuelle server. Rettelsen ligger i version 2.3.12, og da rettelsen erstatter en tidligere ufuldstændig løsning, bør servere på version 2.3.11 også opgraderes.
Hvad kan ske?
En kunde med almindelig adgang og eksportfunktionen aktiveret kan opnå root-adgang til hele serveren. Det betyder adgang til alle andre kunders hjemmesider, databaser og filer på samme server, mulighed for at installere skadelig software på serverniveau, og fuld kontrol over hostingmiljøet. For et dansk webhotel kan det i praksis betyde et brud på tavshedspligt og databehandleraftaler over for samtlige kunder på den ramte server, ikke kun den ene konto, angrebet udgår fra.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, som er den øvre ende af skalaen. Angrebet kræver kun en lav-privilegeret, allerede oprettet kundekonto, ingen brugerhandling fra andre, og udnyttelsen er beskrevet som forudsigelig, altså den virker hver gang uden held eller gentagne forsøg. Fordi angrebet krydser fra en kundekonto til hele serveren (scope changed), er konsekvensen fuld kompromittering af fortrolighed, integritet og tilgængelighed for alle lejere på serveren. Der er ikke oplyst om aktiv udnyttelse i skarpe angreb, men den tekniske beskrivelse er detaljeret nok til at fungere som opskrift.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, mens I opdaterer.
- Opdatér Froxlor til version 2.3.12 på alle servere, hvor panelet kører.
- Kan opdatering ikke ske straks, så deaktivér eksportfunktionen (DataDump) for alle kundekonti midlertidigt.
- Gennemgå eksport-cronjob-loggen for usædvanlige stier eller tidspunkter, der kan tyde på misbrug forud for opdateringen.
- Tjek ejerskab på systemkritiske mapper som /etc for uventede ændringer, hvis I mistænker allerede sket misbrug.
- Informér kunder på den ramte server, hvis I finder tegn på misbrug, da et brud kan omfatte deres data.
- Kontakt ekstern hjælp, hvis I finder tegn på allerede gennemført udnyttelse, eller hvis opgraderingen kræver dybere ændringer i jeres hostingmiljø.
Opdatér inden for 24 timer
Vi anbefaler at opdatere Froxlor til version 2.3.12 med det samme, da sårbarheden giver enhver kundekonto med eksportadgang mulighed for at overtage hele serveren uden brugerinteraktion eller held involveret. Det er ikke acceptabelt at vente til en planlagt vedligeholdelsesrunde, da alle andre kunder på samme server er eksponeret, så længe hullet er åbent. Er opgradering af tekniske årsager forsinket, bør eksportfunktionen deaktiveres for samtlige kunder i mellemtiden.
Tidslinje
Konkrete eksempler
Delt webhotel hos et dansk hostingfirma
Et dansk webhotel driver et Froxlor-panel med 40 kundekonti på samme server. En kunde med en almindelig hjemmeside opretter en eksportopgave og udskifter en mappe i stien med en genvej til serverens systemmappe, lige før det natlige eksportjob kører som root. Kunden opnår herefter root-adgang og fuld læse- og skriveadgang til samtlige øvrige 39 kunders hjemmesider og databaser på serveren.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I selv driver eller får driftet en server med Froxlor i version 2.3.10 eller tidligere, og eksportfunktionen for kunder er aktiveret. Tjek versionsnummeret i Froxlors administrationspanel under systeminformation.
Hvordan tjekker vi, om nogen allerede har misbrugt sårbarheden?
Gennemgå loggen for eksport-cronjobbet for usædvanlige stier med symlinks, og kontrollér ejerskabet på systemmapper som /etc. Uventet ejerskab tilhørende en kundekonto er et tegn på misbrug.
Kan vi vente til weekenden med at opdatere?
Nej. Angrebet kræver kun en almindelig kundekonto og ingen brugerhandling fra jer, så risikoen er til stede, så længe eksportfunktionen er aktiv og panelet ikke er opdateret.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I konstaterer, at kundedata eller serverkontrol er blevet kompromitteret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen over for Datatilsynet og orientere berørte kunder efter jeres databehandleraftaler.
Rammer sårbarheden også vores egne interne servere uden eksterne kunder?
Ja, hvis flere afdelinger eller systemer deler samme Froxlor-server som separate konti, gælder samme risiko internt, da angrebet netop udnytter adskillelsen mellem kundekonti.
Er det nok at deaktivere eksportfunktionen i stedet for at opdatere?
Det lukker det konkrete angrebspunkt midlertidigt, men er ikke en permanent løsning. Opdatering til 2.3.12 er den eneste fulde rettelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Froxlor is a server administration panel. In versions 2.3.10 and earlier, the customer data-export (DataDump) cron fails to validate intermediate path components of the export destination: FroxlorFileDir::makeCorrectDir() contains an off-by-one in its path-component walk that skips the first segment below the customer home directory, and the guard in ExportCron.php checks only the final component with is_link(). An authenticated customer whose account has the export feature enabled can schedule an export into a genuine subdirectory of their own webspace, then replace an intermediate path component with a symlink before the root-owned cron runs. The cron’s `chown -R` then recursively changes ownership of the linked directory tree — for example /etc — to the customer’s UID, yielding host root and cross-tenant compromise. Exploitation is deterministic and requires no race. This is an incomplete fix of GHSA-75h4-… The issue is fixed in Froxlor 2.3.12.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.