CVE-2026-45174: Fejl i Idira Endpoint Privilege Manager

CVE-2026-45174 er en sårbarhed i Idira Endpoint Privilege Manager til Linux, et sikkerhedsprodukt fra Palo Alto Networks, der styrer brugerrettigheder på virksomheders computere. Fejlen opstår, når agentens baggrundsproces, en daemon der kører uden brugerinteraktion, starter op. En lokal angriber med i forvejen lave rettigheder på maskinen kan udnytte en fejl i, hvordan systemet frigiver og lukker ressourcer korrekt, klassificeret som CWE-404, til at kompromittere selve opstarten af daemonen. Det kan give angriberen adgang til at læse, ændre eller ødelægge data, som ellers er beskyttet af programmet.

Sårbarheden rammer virksomheder, der bruger Idira Endpoint Privilege Manager Linux Agent i versioner før 26.5.0. Produktet bruges typisk til at begrænse administratorrettigheder på medarbejderes Linux-maskiner og servere, og det er derfor særligt udbredt hos virksomheder med strenge krav til rettighedsstyring, herunder finanssektoren og offentlige institutioner. Alle systemer, hvor agenten kører på en Linux-kerne, er potentielt berørt.

En medarbejder eller proces med almindelige, lave rettigheder på en Linux-maskine kan i praksis hæve sine egne rettigheder ved at udnytte fejlen i agentens opstartsproces. Da Endpoint Privilege Manager netop er sat til at forhindre uautoriseret adgang til fortrolige data og systemfunktioner, betyder en vellykket udnyttelse, at hele formålet med produktet undermineres på den pågældende maskine. Angriberen kan potentielt læse følsomme data, ændre systemindstillinger eller forstyrre driften.

CVSS-score er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede er logget ind eller har kørt kode på systemet. Der kræves lave rettigheder i forvejen, men ingen brugerinteraktion, og konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ingen offentlig oplysning om, at sårbarheden aktivt udnyttes, men fordi udnyttelsen ikke kræver brugerhandling, kan et angreb gennemføres automatisk, så snart en angriber har fået et fodfæste på systemet.

Gør følgende i prioriteret rækkefølge:

1. Opdatér Idira Endpoint Privilege Manager Linux Agent til version 26.5.0 eller nyere. Dette lukker sårbarheden.
2. Kortlæg hvilke Linux-servere og -maskiner i jeres miljø, der kører agenten, og prioriter systemer med flere brugere eller delte konti.
3. Gennemgå logs for agentens tjeneste for usædvanlig aktivitet omkring opstart, i perioden op til opdateringen.
4. Begræns lokal adgang til systemer, hvor opdateringen endnu ikke er gennemført, for eksempel ved at fjerne unødvendige lokale konti.
5. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I har mange berørte systemer eller mangler ressourcer til selv at teste og udrulle opdateringen.