CVE-2026-49488: Sti-traversering i Apache Openmeetings
CVE-2026-49488: Mødeledere i Apache Openmeetings kan læse følsomme filer på serveren. Opdatér til version 9.1.0.
Hvad er det?
CVE-2026-49488 er en sårbarhed i Apache Openmeetings, et open source-værktøj til videokonferencer og webmøder. Fejlen kaldes sti-traversering: systemet tjekker ikke godt nok, hvilken sti en fil ligger på, når en bruger anmoder om at downloade en fil fra et møderum. En bruger med rollen moderator kan derfor manipulere en downloadanmodning, så den henter filer uden for det tilsigtede mødeområde, for eksempel konfigurationsfiler med adgangskoder eller andre hemmeligheder, der ligger tilgængelige for den kontobruger, som Openmeetings-serveren kører under.
Hvem rammer det?
Alle virksomheder og kommuner, der kører Apache Openmeetings i version 5.0.0 til og med version før 9.1.0. Det gælder både selvhostede installationer på egne servere og installationer hos en driftsleverandør. Er I ikke i tvivl om, hvilken version I bruger, kan I se det i administratorpanelet i Openmeetings eller spørge den, der drifter løsningen.
Hvad kan ske?
En bruger med moderatorrettigheder i et hvilket som helst møderum kan hente filer, som ligger på serveren uden for det tilsigtede område. Det kan i praksis betyde adgang til databaseadgangskoder, systemkonfiguration eller andre hemmeligheder, som serveren har adgang til. Hvis en angriber først har fået moderatorrettigheder, for eksempel ved at oprette et gratis møde eller misbruge en kompromitteret konto, kan de dermed skaffe sig fodfæste til at gå videre ind i jeres systemer.
Hvor alvorligt er det?
CVSS-scoren er 6,5 ud af 10, moderat risiko. Angrebet kræver ikke brugerinteraktion fra offeret og kan udføres over netværket, men kræver, at angriberen allerede har lave rettigheder i systemet, i dette tilfælde moderatorrollen i et møderum. Konsekvensen er begrænset til fortrolighed: angriberen kan læse data, men kan ikke ændre eller slå systemet ned. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden er rettet af Apache, og opdateringen lukker hullet helt. Sådan håndterer I det:
- Opdatér Apache Openmeetings til version 9.1.0 eller nyere. Det fjerner sårbarheden.
- Gennemgå, hvem der har fået tildelt moderatorrettigheder i jeres møderum, og fjern rettigheder fra konti, der ikke har brug for dem.
- Undersøg logfiler for usædvanlige downloadanmodninger fra møderum i perioden op til opdateringen, hvis I ikke kan opgradere med det samme.
- Roter adgangskoder og hemmeligheder, som lå tilgængelige for den systemkonto, Openmeetings kører under, hvis I er i tvivl om, om de har været eksponeret.
- Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv drifter Openmeetings-serveren, og få bekræftet, at opdateringen er gennemført.
Opdatér inden 30 dage
Vi anbefaler, at I opdaterer til Apache Openmeetings 9.1.0 som en fast del af jeres almindelige opdateringscyklus, da sårbarheden kræver en vis rettighed i systemet og ikke er set udnyttet endnu. I kan vente et par uger med opdateringen, hvis I i mellemtiden stopper for, at eksterne eller ukendte brugere kan blive moderatorer i jeres møderum. Kører I Openmeetings mod internettet uden begrænsning af, hvem der kan blive moderator, bør I prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Kommunal videokonference med ekstern deltager
En dansk kommune bruger Apache Openmeetings til borgermøder og tildeler en ekstern konsulent moderatorrollen for at styre et møde. Konsulenten, eller en person der har fået adgang til dennes konto, udnytter sårbarheden til at hente serverens konfigurationsfil og finder databaseadgangskoder. Herfra får angriberen adgang til andre systemer, der deler samme adgangskode.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-49488?
I er ramt, hvis I kører Apache Openmeetings i en version fra 5.0.0 og frem til, men ikke inklusive, version 9.1.0. Tjek jeres version i administratorpanelet eller hos den, der drifter løsningen.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I ikke tillader ukendte eller eksterne brugere at blive moderatorer i jeres møderum. Er moderatorrollen bredt tilgængelig, bør I opdatere før weekenden.
Kræver angrebet, at man er logget ind?
Ja. Angriberen skal have moderatorrettigheder i et møderum for at kunne udnytte sårbarheden. Det gør angrebet mere begrænset, men ikke uden risiko, da moderatorrollen ofte er nem at opnå i åbne møder.
Hvad kan angriberen se, hvis sårbarheden udnyttes?
Angriberen kan læse filer, som den kontobruger, der kører Openmeetings-serveren, har adgang til. Det kan omfatte databaseadgangskoder, konfigurationsfiler og andre hemmeligheder gemt på serveren.
Skal vi anmelde dette til Digitalt Ansvar eller Datatilsynet?
Kun hvis I har konkrete tegn på, at sårbarheden er blevet udnyttet og har medført adgang til personoplysninger. Uden tegn på misbrug er der ikke pligt til anmeldelse, men opdatér alligevel for at fjerne risikoen.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå serverlogfiler for downloadanmodninger fra møderum, der indeholder mistænkelige stiangivelser, for eksempel forsøg på at navigere op i mappestrukturen. Kontakt en sikkerhedsrådgiver, hvis I finder mistænkelig aktivitet eller ikke har erfaring med logganalyse.
Ramte produkter
Apache: Openmeetings
≥ 5.0.0, < 9.1.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’) vulnerability in Apache OpenMeetings.
This issue affects Apache OpenMeetings: from 5.0.0 before 9.1.0.
An attacker with moderator rights in any room can read arbitrary files accessible to the OS account running the OM server, including credentials and secrets, via a crafted download request.
Users are recommended to upgrade to version 9.1.0, which fixes the issue.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.