CVE-2026-15378: SSRF-sårbarhed i guardrails-detectors

CVE-2026-15378 er en fejl i komponenten guardrails-detectors, som bruges til at validere input og output i systemer med sprogmodeller (AI-guardrails). Fejlen gør det muligt for en angriber uden login at sende en specialkonstrueret XSD-streng, et format der beskriver strukturen i XML-dokumenter. Systemet forsøger derefter selv at hente det XML-skema, som XSD-strengen henviser til, og angriberen kan styre, hvilken adresse dette sker mod. Det kaldes SSRF, server-side request forgery, hvor serveren narres til at lave kald på angriberens vegne mod interne adresser, som normalt ikke kan nås udefra.

Sårbarheden rammer virksomheder og organisationer, der kører AI-løsninger med guardrails-detectors som del af deres infrastruktur til validering af input og output fra sprogmodeller. Det gælder typisk teams, der har bygget interne chatbots, dokumentbehandling eller andre AI-tjenester på baggrund af open source guardrails-komponenter. NVD-data angiver ingen specifik versionsafgrænsning, så alle installationer af komponenten bør betragtes som potentielt ramt, indtil andet er bekræftet.

En angriber kan bruge fejlen til at få serveren til at kalde interne endepunkter, som normalt er skærmet fra internettet. Det omfatter cloud-metadataservicer, hvor der kan ligge adgangsnøgler til hele cloud-kontoen, Kubernetes API’et, den interne objektlagring MinIO og andre systemer på det interne netværk. Angrebet kan også bruges til at læse lokale filer, herunder service account tokens og pod secrets, som giver adgang til andre dele af infrastrukturen. I praksis kan et enkelt sårbart AI-endepunkt dermed blive indgang til hele skymiljøet.

CVSS-score er 9,3 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er høj fortrolighed, altså risiko for at følsomme oplysninger som adgangsnøgler og tokens lækkes, mens fejlen ikke i sig selv ændrer data eller lukker systemet ned. Der er på offentliggørelsestidspunktet ingen oplysninger om, at sårbarheden aktivt udnyttes i angreb.

Følgende skridt bør prioriteres for at lukke risikoen og begrænse skaden, hvis komponenten allerede er i drift.

1. Isolér den server, der kører guardrails-detectors, fra adgang til cloud-metadataservicer, Kubernetes API og MinIO, for eksempel med netværkspolitikker eller firewallregler, der blokerer udgående kald til interne administrative adresser.
2. Deaktivér eller begræns funktionen, der behandler XSD-strenge, hvis det er muligt uden at bryde forretningskritisk funktionalitet.
3. Tjek leverandørens repository og sikkerhedsmeddelelser for en rettet version, og planlæg opdatering, så snart den er tilgængelig.
4. Rotér adgangsnøgler og tokens, der kan have været eksponeret via den sårbare tjeneste, herunder cloud-nøgler og service account tokens.
5. Gennemgå logs for udgående kald fra AI-tjenesten mod interne adresser, som kan indikere forsøg på udnyttelse.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere netværksisolering eller vurdere omfanget af en mulig eksponering.