CVE-2026-45178: Sårbarhed i Idira Secrets Manager
Fejl i adgangskontrol i Idira Secrets Manager kan lade en logget bruger stjæle hemmeligheder eller lukke systemet ned. Opdatér til rettet version.
Hvad er det?
Idira Secrets Manager er et system, der opbevarer og udleverer hemmeligheder som adgangskoder, certifikater og API-nøgler til andre systemer. Sårbarheden CVE-2026-45178 skyldes en fejl i adgangskontrol (CWE-284) på interne cluster-endepunkter, som er de netværkspunkter, der bruges til kommunikation mellem noderne i systemets klynge. En bruger med almindelige node-legitimationsoplysninger kan udnytte disse endepunkter til at hente hemmeligheder, de ikke har ret til, eller til at bringe systemet i stå.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Idira Secrets Manager Self-Hosted i version 13.0 til og med 13.8.0, samt Idira Secrets Manager Credential Providers i version 14.0 til og med 14.2.5. Er I på en nyere version end 13.8.1 eller 14.2.6, er I ikke ramt. Det gælder typisk it-afdelinger og driftsteams, der bruger løsningen til at styre adgangskoder og nøgler til servere, databaser og cloud-tjenester.
Hvad kan ske?
En angriber, der allerede har fået fat i almindelige node-legitimationsoplysninger, for eksempel via en kompromitteret server i klyngen, kan bruge fejlen til at hente hemmeligheder, de ikke er godkendt til at se. Det kan være adgangskoder til databaser, certifikater eller API-nøgler, som derefter kan bruges til at bevæge sig videre i jeres netværk. Angriberen kan i stedet vælge at overbelaste systemet, så det går ned, hvilket kan stoppe adgangen til hemmeligheder for alle jeres andre systemer og dermed lamme drift.
Hvor alvorligt er det?
CVSS-scoren er 8,1 af 10, hvilket NVD sætter til alvorlig. Angrebet kræver, at angriberen allerede har lav-privilegeret login til systemet, men ingen brugerinteraktion fra en administrator eller ansat er nødvendig, og angrebet kan ske over netværket. Konsekvensen for fortrolighed er høj, da hemmeligheder kan læses uautoriseret, og konsekvensen for tilgængelighed er også høj, fordi systemet kan bringes til at gå ned. Der er ikke offentligt kendte tilfælde af, at sårbarheden er udnyttet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I planlægger opdateringen:
- Opdatér Idira Secrets Manager Self-Hosted til version 13.8.1 eller nyere, og Credential Providers til version 14.2.6 eller nyere.
- Gennemgå, hvem der har node-level legitimationsoplysninger, og fjern adgang for konti, der ikke længere har brug for den.
- Begræns netværksadgang til de interne cluster-endepunkter, så kun de noder, der skal kommunikere, kan nå dem.
- Gennemgå logs for uventet adgang til hemmeligheder i perioden op til opdateringen.
- Roter de mest kritiske hemmeligheder, hvis I har mistanke om, at de kan være læst uautoriseret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere, om systemet allerede er kompromitteret.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer til de rettede versioner, så snart det kan planlægges ind i jeres driftsvindue, da sårbarheden giver adgang til jeres hemmeligheder og kan lamme systemet. Det er acceptabelt at vente få dage, hvis I i mellemtiden strammer netværksadgangen til cluster-endepunkterne og begrænser, hvem der har node-legitimationsoplysninger. Er systemet eksponeret bredt internt, eller deler I node-adgang mellem mange systemer, bør opdateringen prioriteres højere.
Tidslinje
Konkrete eksempler
Kompromitteret serverkonto giver adgang til databasehemmeligheder
En dansk produktionsvirksomhed bruger Idira Secrets Manager til at opbevare adgangskoder til sine produktionsdatabaser. En medarbejders bærbare bliver inficeret med malware, der stjæler node-legitimationsoplysninger fra en integreret tjeneste. Angriberen bruger de stjålne oplysninger til at udnytte fejlen i adgangskontrollen og hente databaseadgangskoder, som ikke burde have været tilgængelige, og bevæger sig derefter videre til virksomhedens produktionssystemer.
Ofte stillede spørgsmål
Er vi ramt af sårbarheden?
I er ramt, hvis I kører Idira Secrets Manager Self-Hosted i en version fra 13.0 til og med 13.8.0, eller Credential Providers i en version fra 14.0 til og med 14.2.5. Tjek versionen i administrationskonsollen eller hos jeres driftsleverandør.
Hvordan tjekker vi, om vores system er sårbart?
Se versionsnummeret i systemets administrationsside eller i installationslogfilerne. Er versionen lavere end 13.8.1 eller 14.2.6, skal den opdateres.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I i mellemtiden begrænser netværksadgangen til de interne cluster-endepunkter og gennemgår, hvem der har node-legitimationsoplysninger. Er systemet bredt tilgængeligt internt, bør I ikke vente.
Kræver angrebet, at angriberen allerede er inde i vores netværk?
Angriberen skal have almindelige node-legitimationsoplysninger, altså en gyldig konto på et af noderne i klyngen. Det kan opnås gennem en kompromitteret server, en medarbejderkonto eller en tredjepartstjeneste med adgang til systemet.
Skal vi anmelde dette til en myndighed?
Kun hvis I finder tegn på, at hemmeligheder faktisk er blevet læst uautoriseret, og det medfører et sikkerhedsbrud med persondata. Vurdér det i lyset af jeres logs og eventuel dataforordning.
Hvad gør vi, hvis vi finder tegn på uautoriseret adgang?
Roter alle hemmeligheder, der har været tilgængelige via systemet, isolér de involverede noder, og kontakt en sikkerhedsrådgiver for at få hjælp til at kortlægge omfanget.
Ramte produkter
Paloaltonetworks: Idira Secrets Manager
≥ 13.0, < 13.8.1
Paloaltonetworks: Idira Secrets Manager Credential Providers
≥ 14.0, < 14.2.6
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Idira Secrets Manager Self-Hosted versions 13.8.0 and lower exhibit improper access control within internal cluster endpoints. A remote, authenticated attacker possessing standard node-level credentials could leverage these endpoints to potentially retrieve unauthorized secrets or cause a denial of service (DoS). CyberArk Security Bulletin: CA26-20
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.