CVE-2026-28307: Rettighedseskalering i SolarWinds Serv-U
En sårbarhed i SolarWinds Serv-U (CVE-2026-28307) lader en domænebruger blive administrator. Opdatér Serv-U og gennemgå gruppetilhørsforhold.
Hvad er det?
CVE-2026-28307 er en fejl i adgangskontrollen i SolarWinds Serv-U, en server til filoverførsel (FTP og MFT). Fejlen hører til kategorien CWE-284, Improper Access Control, hvilket betyder at systemet ikke tjekker rettigheder korrekt, når en bruger skifter gruppe. En bruger, der allerede har en almindelig konto i en domænebrugergruppe, kan udnytte fejlen til at blive løftet ind i en administratorgruppe. Herfra får personen fuld kontrol over Serv-U og de filer, systemet håndterer. Sårbarheden kræver ikke, at nogen klikker på noget eller åbner en fil, men den kræver en gyldig konto i forvejen.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører SolarWinds Serv-U til fil- og datatransport, typisk til udveksling af filer med kunder, leverandører eller mellem afdelinger. Alle installationer, hvor domænebrugere har almindelige konti i Serv-U, er potentielt udsatte. SolarWinds oplyser selv, at konsekvensen er mindre alvorlig i Windows-baserede opsætninger end i andre miljøer, men risikoen er til stede uanset platform.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med en almindelig konto kan udnytte fejlen til at give sig selv administratorrettigheder i Serv-U. Derfra kan personen læse, ændre eller slette alle filer, der ligger på serveren, oprette nye brugere og ændre systemets konfiguration. For en dansk virksomhed betyder det risiko for tab af fortrolige dokumenter, manipulation af data, der udveksles med kunder, og mulighed for at skjule sporene bagefter, fordi angriberen har administratoradgang til logs.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang, men ingen brugerhandling fra offeret. Til gengæld kræver det, at angriberen allerede har en konto med høje rettigheder i domænet (PR:H), altså ikke en anonym udefrakommende. Fordi angrebet ændrer scope, det vil sige at det påvirker mere end selve den sårbare komponent, vurderes konsekvensen alvorlig: fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ingen oplysninger om aktiv udnyttelse i praksis på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, hvis nogen allerede har udnyttet det:
- Tjek SolarWinds’ sikkerhedsbulletin for den version af Serv-U, der retter fejlen, og opdatér til den så hurtigt som muligt.
- Gennemgå alle brugerkonti og gruppetilhørsforhold i Serv-U. Fjern domænebrugere, der ikke har brug for at være i administratorgrupper.
- Begræns netværksadgangen til Serv-U’s administrationsgrænseflade, så kun betroede IP-adresser kan tilgå den.
- Gennemgå logs for usædvanlige ændringer i gruppemedlemskaber eller nye administratorkonti oprettet på tidspunkter, hvor det ikke giver mening.
- Hent hjælp udefra, hvis I ikke har ressourcer til selv at gennemgå konfiguration og logs, eller hvis I finder tegn på, at fejlen allerede er udnyttet.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Serv-U til den rettede version og samtidig gennemgår, hvilke domænebrugere der har adgang til systemet. Det er ok at vente til næste planlagte vedligeholdelsesvindue, hvis administrationsgrænsefladen kun er tilgængelig internt og I har kontrol over, hvem der har domænekonti med adgang til Serv-U. Er Serv-U eksponeret bredt i netværket, eller har I mange eksterne brugere med konti, bør opdateringen prioriteres højt.
Tidslinje
Konkrete eksempler
Eskalering via samarbejdspartnerkonto
En dansk produktionsvirksomhed bruger Serv-U til at udveksle tegninger og ordrer med underleverandører. En underleverandør med en almindelig domænekonto udnytter fejlen til at blive administrator i Serv-U og får dermed adgang til alle andre kunders filer på serveren, herunder fortrolige tegninger fra konkurrerende samarbejdspartnere.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører SolarWinds Serv-U, og domænebrugere har almindelige konti i systemet. Tjek jeres installerede version op mod SolarWinds’ sikkerhedsbulletin for at se, om den er sårbar.
Kræver angrebet, at nogen udefra kan komme ind i vores netværk?
Nej, angrebet foregår over netværket, men kræver en gyldig konto i domænet i forvejen. En udefrakommende uden konto kan ikke direkte udnytte denne sårbarhed alene.
Kan vi vente til weekenden med at opdatere?
Hvis Serv-U’s administrationsgrænseflade kun er tilgængelig internt, og I har styr på, hvem der har konti, kan det være forsvarligt at vente til næste vedligeholdelsesvindue. Er systemet bredt tilgængeligt, bør I opdatere hurtigere.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Gennemgå Serv-U’s logs for ændringer i brugergrupper og nye administratorkonti, især hvis de er oprettet af konti, der normalt ikke har den slags rettigheder.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I bevis for, at nogen har fået uautoriseret administratoradgang og tilgået persondata, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og kontakte Datatilsynet inden for fristerne, hvis der er tale om et sikkerhedsbrud med persondata.
Er risikoen lavere, hvis vi kører Serv-U på Windows?
SolarWinds oplyser, at konsekvensen er lavere i Windows-baserede opsætninger, men sårbarheden findes stadig, og vi anbefaler at opdatere uanset platform.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SolarWinds Serv-U is affected by a privilege escalation vulnerability that allows a domain user group to be elevated into an administrator group. The impact is lower in Windows deployments.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.