CVE-2026-28302: Kritisk root-fejl i SolarWinds Serv-U

CVE-2026-28302 er en sårbarhed i SolarWinds Serv-U, en filoverførselsserver til FTP, SFTP og FTPS. Fejlen er en såkaldt IDOR-fejl (insecure direct object reference), som betyder, at systemet ikke tjekker grundigt nok, om en bruger reelt har ret til at tilgå det objekt, den beder om via et id eller reference. Konkret kan en konto med gruppeadministrator-rettigheder udnytte manglende adgangskontrol til at eskalere sine egne rettigheder og til sidst køre kode som root, altså med fuld kontrol over serveren.

Alle virksomheder og kommuner, der kører SolarWinds Serv-U til filoverførsel, er potentielt berørt. Det gælder både interne filservere og servere, der udveksler filer med kunder eller leverandører. Konsekvensen er størst på Linux- og Unix-installationer, hvor angriberen kan opnå fuld root-adgang til hele serveren. På Windows-installationer er effekten ifølge NVD lavere, men stadig alvorlig.

Har en angriber eller en kompromitteret konto først opnået gruppeadministrator-rettigheder, kan sårbarheden bruges til at tage fuld kontrol over serveren. Det betyder adgang til alle filer på serveren, mulighed for at installere bagdøre, ændre systemkonfiguration og bruge serveren som springbræt videre ind i jeres netværk. For virksomheder, der bruger Serv-U til at modtage filer fra kunder eller offentlige samarbejdspartnere, kan det også betyde tab af følsomme data og brud på GDPR.

CVSS-score er 9,1 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværk uden brugerinteraktion, men kræver, at angriberen allerede har login med gruppeadministrator-rettigheder (PR:H). Det gør angrebet mest relevant for insidere, kompromitterede admin-konti eller angribere, der allerede har fået fodfæste et andet sted i systemet. Scope er ændret (S:C), hvilket betyder, at fejlen kan bruges til at påvirke komponenter uden for selve Serv-U-processen, i dette tilfælde hele serverens operativsystem. NVD-data indeholder ingen oplysninger om, at sårbarheden aktivt udnyttes.

Følg disse trin for at lukke hullet og begrænse risikoen, mens I venter:

1. Opdatér SolarWinds Serv-U til den nyeste version, hvor fejlen er rettet. Tjek SolarWinds’ officielle sikkerhedsside for det præcise versionsnummer, der indeholder rettelsen.
2. Gennemgå alle konti med gruppeadministrator-rettigheder, og fjern eller nedgradér konti, der ikke har et reelt behov for det niveau.
3. Skift adgangskoder på alle administrative konti i Serv-U, hvis I mistænker, at en konto kan være kompromitteret.
4. Begræns netværksadgang til Serv-U’s administrationsgrænseflade, så den kun kan tilgås fra betroede interne netværk.
5. Gennemgå logfiler for usædvanlig aktivitet fra gruppeadministrator-konti, særligt filadgang og konfigurationsændringer.
6. Kontakt en sikkerhedsrådgiver, hvis I kører Serv-U på Linux eller Unix og ikke selv har ressourcer til at verificere, om systemet er kompromitteret.