CVE-2026-41939: Standardlogin i Care Everywhere Gateway
Care Everywhere Gateway 14.3.10 bruger indbyggede standardadgangskoder i styringsmodulet WildFly, så alle kan opnå fuld fjernstyring uden login. Opgradér til en supporteret version.
Hvad er det?
CVE-2026-41939 er en sårbarhed i Care Everywhere Gateway 14.3.10, et system til udveksling af patientdata mellem hospitaler og sundhedssystemer. Fejlen ligger i det medfølgende styringsmodul WildFly 8.2.0.Final, et administrationsværktøj til at installere og styre serverapplikationer. Modulet leveres med adgangskoder, der er identiske på tværs af alle installationer, og som ikke er ændret ved opsætning. En angriber uden brugernavn eller kodeord kan logge på styringskonsollen på port 20990 og uploade en skadelig webapplikationsfil gennem Deployments-funktionen. Filen bliver derefter kørt med rettighederne til Windows-maskinkontoen, hvilket giver angriberen fuld kontrol over serveren. Sårbarheden er klassificeret som CWE-1392, brug af standardadgangskoder.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører Care Everywhere Gateway version 14.x, herunder 14.3.10. Det er typisk hospitaler, regioner og sundhedsaktører, der udveksler patientdata elektronisk mellem systemer. Version 14.x.x blev erklæret end-of-life, altså udfaset og uden support, i 2017. Nyere versioner af produktet har rettet fejlen, men organisationer, der stadig kører 14.x, er eksponerede uanset opsætning, fordi adgangskoderne er ens for alle installationer.
Hvad kan ske?
En angriber, der finder styringskonsollen eksponeret på internettet eller i et internt netværk, kan uden videre logge på og installere skadelig kode på serveren. Fordi koden køres som Windows-maskinkontoen, får angriberen typisk vidtgående adgang til den underliggende server og de systemer, den er forbundet til. For en dansk sundhedsorganisation kan det betyde adgang til systemer, der behandler patientdata, mulighed for at manipulere eller stjæle data, og et springbræt til at bevæge sig videre i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen brugerhandling: en angriber, der kan nå port 20990 over netværket, kan udnytte fejlen direkte. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på det ramte system. Der er ikke offentliggjort oplysninger om aktiv udnyttelse på tidspunktet for offentliggørelsen, men fejlen er triviel at udnytte for enhver, der kender den, fordi adgangskoderne er offentligt kendte og ens for alle installationer.
Hvad gør jeg nu?
Følgende handlinger bør udføres i denne rækkefølge:
- Opgradér Care Everywhere Gateway til en nyere version uden for 14.x-serien, hvor fejlen er rettet. Det er den handling, der reelt lukker hullet.
- Kan I ikke opgradere med det samme, så blokér adgang til port 20990 fra internettet og fra netværk, der ikke skal have adgang til styringskonsollen.
- Skift alle standardadgangskoder på styringsmoduler og administrative grænseflader, også hvor I tror, de allerede er ændret.
- Gennemgå logfiler for uautoriseret adgang til WildFly-konsollen og for uventede filuploads i Deployments-funktionen.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afklare, om systemet er eksponeret, eller hvis I finder tegn på uautoriseret adgang.
Luk adgang til port 20990 nu
Vi anbefaler, at I straks kortlægger, om jeres organisation kører Care Everywhere Gateway 14.x, og om styringskonsollen på port 20990 er tilgængelig fra internettet eller interne netværk. Det er kun forsvarligt at vente med opgraderingen, hvis I samtidig har blokeret adgangen til styringskonsollen fuldstændigt og har verificeret det. Da 14.x-serien er udfaset, bør opgradering til en supporteret version indgå i jeres planlægning uden yderligere udskydelse.
Tidslinje
Konkrete eksempler
Eksponeret styringskonsol hos en dansk sundhedsaktør
En dansk sundhedsorganisation kører en ældre version af Care Everywhere Gateway til udveksling af patientdata med samarbejdspartnere. Styringskonsollen på port 20990 er tilgængelig fra det interne netværk, fordi ingen har afskærmet den ved opsætning. En angriber, der har fået fodfæste i netværket gennem en anden svaghed, finder porten, logger på med de offentligt kendte standardadgangskoder og uploader en skadelig fil, der giver adgang til serveren og de systemer, den er forbundet til.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek om jeres organisation kører Care Everywhere Gateway version 14.x, særligt 14.3.10, og om port 20990 er tilgængelig fra internettet eller fra netværk, hvor uautoriserede brugere kan nå den. Er porten åben og systemet stadig i den udfasede 14.x-serie, er I sårbare.
Kan vi vente med opgraderingen til efter weekenden?
Kun hvis I i mellemtiden helt blokerer adgang til port 20990 fra alle netværk, der ikke skal bruge styringskonsollen. Uden den blokering bør opgraderingen eller afskærmningen ske hurtigst muligt, fordi angrebet ikke kræver login eller brugerhandling.
Er sårbarheden udnyttet i praksis?
Der er ikke offentliggjort oplysninger om aktiv udnyttelse på tidspunktet for offentliggørelsen. Det ændrer dog ikke ved, at adgangskoderne er offentligt kendte og ens for alle installationer, hvilket gør fejlen let at udnytte, når den bliver kendt bredere.
Skal vi anmelde dette som en sikkerhedshændelse?
Hvis I finder tegn på, at systemet allerede er tilgået uautoriseret, eller at patientdata kan være kompromitteret, skal I følge jeres interne procedurer for hændelsesrapportering og vurdere anmeldelsespligt efter databeskyttelsesreglerne. Er der ikke tegn på misbrug, er den umiddelbare handling at lukke adgangen og opgradere.
Hvorfor er en udfaset version stadig i brug?
Systemer, der udveksler kritisk patientdata, bliver ofte ikke opgraderet i takt med producentens udfasningsplaner, fordi opgraderinger kræver test og koordinering med andre sundhedssystemer. Det er netop derfor, denne type sårbarhed er alvorlig i praksis, selv når en rettelse findes i nyere versioner.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Care Everywhere Gateway 14.3.10 contains a hard-coded credentials vulnerability in the bundled WildFly 8.2.0.Final management interface that allows unauthenticated remote attackers to gain administrative access by using default credentials identical across all installations. Attackers can authenticate to the exposed WildFly management console on port 20990 and deploy a malicious Web Application Archive file through the Deployments interface to achieve remote code execution as the Windows machine account. Version 14.x.x was declared end-of-life (EOL) in 2017 and future releases have addressed the vulnerable finding.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.