CVE-2026-45170: TLS-fejl i Idira PAM-connector
TLS-certifikatfejl i Idira Privilege Cloud Connector (CVE-2026-45170) kan udnyttes fra samme netværk. Opdatér til 1.1.100504.
Hvad er det?
CVE-2026-45170 er en fejl i validering af TLS-certifikater i Idira Privilege Cloud Connector, en komponent der forbinder lokale systemer til CyberArks Privilege Cloud til styring af priviligerede konti. TLS-certifikatvalidering er den kontrol, der sikrer, at en forbindelse rent faktisk går til den rigtige server og ikke til en efterligning. Under bestemte konfigurationer bliver denne kontrol ikke håndhævet fuldt ud, hvilket åbner for aflytning eller manipulation af trafikken mellem connectoren og skyen.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører Idira Privilege Cloud Connector i version 1.1.0 til og med tidligere versioner end 1.1.100504. Det drejer sig typisk om virksomheder og kommuner, der bruger CyberArks PAM-løsning (Privileged Access Management) til at styre adgangskoder og adgang for administratorer og servicekonti, og som har en lokal connector, der taler med en cloud-tjeneste.
Hvad kan ske?
En angriber, der har adgang til samme netværkssegment som connectoren, kan udføre et man-in-the-middle-angreb: opsnappe eller ændre trafik mellem connectoren og Privilege Cloud. Fordi trafikken indeholder priviligerede adgangsoplysninger, kan det i værste fald give angriberen adgang til de administratorkonti, som PAM-løsningen skal beskytte. Det rammer fortrolighed, integritet og tilgængelighed på én gang.
Hvor alvorligt er det?
CVSS-score er 8,8 ud af 10, vurderet alvorlig. Angrebet kræver hverken login (PR:N) eller brugerhandling (UI:N), men forudsætter, at angriberen befinder sig på et tilstødende netværk (AV:A) og ikke blot kan angribe fra det åbne internet. Der er ikke rapporteret aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende skridt lukker hullet og reducerer risikoen, mens I opdaterer:
- Opdatér Idira Privilege Cloud Connector til version 1.1.100504 eller nyere. Det retter selve certifikatvalideringen.
- Kontrollér efter opdatering, at connectoren rent faktisk validerer TLS-certifikater korrekt i jeres konfiguration.
- Segmentér netværket, så kun de systemer, der skal kommunikere med connectoren, har adgang til det pågældende netværkssegment.
- Gennemgå logs for usædvanlige certifikatfejl eller afbrudte forbindelser, der kan indikere forsøg på aflytning.
- Kontakt Auroa eller CyberArk, hvis I ikke kan opdatere inden for kort tid, så I kan få hjælp til midlertidig afskærmning af netværket.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer Idira Privilege Cloud Connector til 1.1.100504 inden for de næste 14 dage, da sårbarheden rammer kernen i jeres priviligerede adgangsstyring. Det er acceptabelt at vente få dage, hvis connectoren kører isoleret på et stærkt segmenteret netværk uden adgang for andre enheder, men vi fraråder at udskyde opdateringen længere end nødvendigt, da PAM-systemer er attraktive mål.
Tidslinje
Konkrete eksempler
Kompromitteret enhed på samme netværk
En dansk produktionsvirksomhed kører Idira Privilege Cloud Connector på et internt netværk, der deles med flere administrative systemer. En medarbejders computer bliver inficeret med malware via en phishing-mail. Malwaren udnytter den manglende certifikatvalidering til at aflytte trafikken mellem connectoren og Privilege Cloud og opsnapper priviligerede adgangsoplysninger, som herefter bruges til at få adgang til virksomhedens serverinfrastruktur.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-45170?
I er ramt, hvis I kører Idira Privilege Cloud Connector i version 1.1.0 eller nyere, men ældre end 1.1.100504. Tjek versionsnummeret i connectorens administrationskonsol eller installationsfiler.
Hvordan tjekker vi, hvilken version vi kører?
Åbn connectorens konfigurations- eller versionsoversigt i administrationsværktøjet, eller kontakt jeres CyberArk-leverandør for at få bekræftet versionsnummeret.
Kan vi vente til weekenden med at opdatere?
Ja, hvis connectoren kører på et netværk uden adgang for andre enheder end dem, der skal bruge den. Er netværket delt med almindelige medarbejderenheder eller gæstenetværk, bør opdateringen prioriteres hurtigere.
Kræver angrebet, at hackeren er inde i vores kontor?
Angriberen skal have adgang til det samme netværkssegment som connectoren, ikke nødvendigvis fysisk adgang til kontoret. En kompromitteret computer eller enhed på samme netværk er nok.
Er sårbarheden udnyttet i praksis?
Der er ikke rapporteret kendte angreb eller offentligt tilgængelig angrebskode mod CVE-2026-45170 på offentliggørelsestidspunktet.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og at priviligerede oplysninger er kompromitteret. Ren opdatering af sårbar software udløser ikke i sig selv en anmeldelsespligt.
Ramte produkter
Paloaltonetworks: Idira Privilege Cloud Connector
≥ 1.1.0, < 1.1.100504
CVSS-detaljer
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Idira Vendor PAM – Self-Hosted Connector versions prior 1.1.100504 under specific conditions and configuration scenarios, TLS certificate validation may not be fully enforced. CyberArk Security Bulletin: CA26-17
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.