CVE-2026-103056: Kommandoinjektion i AiSOC og CrowdStrike RTR
AiSOC (CVE-2026-103056) har en kommandoinjektionsfejl, hvor autoriserede brugere kan køre vilkårlige kommandoer med SYSTEM- eller root-rettigheder på jeres endpoints. Opdatér til 12.0.0.
Hvad er det?
AiSOC er en platform til sikkerhedsautomatisering, der bruges til at styre og reagere på hændelser på tværs af en virksomheds it-miljø. Sårbarheden CVE-2026-103056 er en OS-kommandoinjektion (CWE-78), som opstår i den funktion, der bygger kommandoer til CrowdStrike Falcon Real Time Response, et værktøj til fjernstyring af endpoints. Parametrene file_path, path, script_name og script_args bliver ikke renset for specialtegn, før de sættes ind i en kommandostreng. En bruger, der allerede er logget ind, kan indsætte et enkelt anførselstegn og dermed bryde ud af den tiltænkte kommando. Resultatet er, at AiSOC udfører vilkårlige kommandoer direkte på de administrerede endpoints.
Hvem rammer det?
Det rammer virksomheder og MSSP’er, der kører AiSOC i version 7.2.0 til og med 11.x, altså alle versioner før 12.0.0, og som har integreret platformen med CrowdStrike Falcon for at kunne fjernstyre endpoints. Er I kunde hos en sikkerhedsleverandør, der bruger AiSOC som overvågnings- eller SOC-platform, kan jeres endpoints også være eksponerede, selvom I ikke selv driver AiSOC.
Hvad kan ske?
En bruger med almindelig adgang til AiSOC, altså ikke nødvendigvis en administrator, kan udnytte fejlen til at få systemet til at udføre vilkårlige kommandoer på de endpoints, som platformen administrerer. Kommandoerne kører med SYSTEM-rettigheder på Windows eller root-rettigheder på Linux. I praksis betyder det fuld kontrol over de ramte maskiner: installation af skadelig kode, udtræk af data eller sletning af filer.
Hvor alvorligt er det?
CVSS-scoren er 9,0 ud af 10, kritisk. Angrebet kræver, at brugeren har et gyldigt login med lave rettigheder (PR:L) og skal udføre en handling i systemet, for eksempel oprette eller redigere en RTR-handling (UI:R). Der kræves altså både en konto og en aktiv handling, men ingen administratorrettigheder. Konsekvensen ved udnyttelse er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed rammes fuldt ud, fordi angriberen ender med systemrettigheder. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er udnyttet:
- Opdatér AiSOC til version 12.0.0 eller nyere. Det lukker selve sårbarheden.
- Gennemgå logs for actions-servicen og se efter usædvanlige tegn, særligt enkelte anførselstegn, i felterne file_path, path, script_name og script_args.
- Begræns hvilke brugere der kan oprette eller redigere CrowdStrike RTR-handlinger i AiSOC, indtil opdateringen er gennemført.
- Roter API-nøgler og adgangstokens mellem AiSOC og CrowdStrike, hvis I finder tegn på misbrug i logs.
- Kontakt jeres MSSP eller Auroa, hvis I ikke selv kan verificere opdateringen, eller hvis I finder spor af uautoriserede kommandoer på endpoints.
Opdatér inden for 7 dage
Vi anbefaler at opdatere AiSOC til version 12.0.0 snarest muligt, da sårbarheden giver adgang til fuld systemkontrol over jeres administrerede endpoints. Det er ikke en fejl, man bør vente med til næste planlagte vedligeholdelsesvindue, fordi konsekvensen ved udnyttelse er så omfattende. Har I ikke selv adgang til at opdatere platformen, bør I bede jeres leverandør bekræfte, at opdateringen er gennemført, inden ugen er omme.
Tidslinje
Konkrete eksempler
Intern misbrug hos en dansk MSSP-kunde
En medarbejder hos en dansk virksomhed, der bruger AiSOC gennem sin sikkerhedsleverandør, har almindelig adgang til at oprette handlinger i systemet. Medarbejderen indsætter et manipuleret script_args-felt med et anførselstegn og får derved AiSOC til at udføre en ekstra kommando på en af virksomhedens servere med SYSTEM-rettigheder. Kommandoen bruges til at oprette en ny administratorkonto på serveren, uden at det umiddelbart bliver opdaget.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres virksomhed eller jeres sikkerhedsleverandør kører AiSOC i en version mellem 7.2.0 og 11.x med integration til CrowdStrike Falcon Real Time Response. Tjek versionsnummeret i AiSOC’s administrationspanel eller spørg jeres leverandør direkte.
Hvordan tjekker vi, om sårbarheden er udnyttet hos os?
Gennemgå logs for AiSOC’s actions-service med fokus på handlinger, der involverer file_path, path, script_name eller script_args. Se efter enkelte anførselstegn eller andre uventede specialtegn i disse felter, samt kommandoer der afviger fra jeres normale mønster.
Kan vi vente til weekenden med at opdatere?
Det kan I, hvis I i mellemtiden begrænser, hvem der har adgang til at oprette eller redigere CrowdStrike RTR-handlinger i AiSOC. Er adgangen bred blandt jeres medarbejdere, bør opdateringen prioriteres før weekenden.
Kræver angrebet, at brugeren er ondsindet?
Ja, angrebet forudsætter, at en logget ind bruger bevidst indsætter skadelige tegn i handlingsparametrene. Det kan være en insider, eller en ekstern angriber der først har skaffet sig legitime loginoplysninger til AiSOC.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I bevis for, at sårbarheden er udnyttet, og at personoplysninger eller driftskritiske systemer er berørt, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Center for Cybersikkerhed.
Påvirker fejlen selve CrowdStrike Falcon-produktet?
Nej, fejlen ligger i AiSOC’s egen kode, der bygger kommandostrenge til CrowdStrike RTR. CrowdStrike Falcon-platformen er ikke i sig selv sårbar, men bliver brugt som kanal til at udføre de injicerede kommandoer på endpoints.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
AiSOC versions 7.2.0 before 12.0.0 contain a command injection vulnerability in the actions service that builds CrowdStrike Real Time Response command strings by interpolating unescaped action parameters in crowdstrike_rtr.py and endpoint.py. Authenticated users can inject single quotes into file_path, path, script_name, or script_args parameters to break out of quoted arguments and execute arbitrary commands on managed endpoints with SYSTEM or root privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.