CVE-2026-4978: SQL-fejl i UMAI Vision Traffic Analysis
Kritisk SQL-indsprøjtningsfejl i UMAI Vision Traffic Analysis System. Opdatér til version 34 eller nyere nu.
Hvad er det?
CVE-2026-4978 er en sårbarhed i UMAI Vision Traffic Analysis System, et system til trafikanalyse. Fejlen er SQL-indsprøjtning (SQL injection), hvor en angriber kan sende specielt udformede databasekommandoer gennem systemets normale inputfelter eller programmeringsgrænseflade (API). Fordi systemet ikke renser inputtet korrekt, kan kommandoerne blive udført direkte på den underliggende database. Det kræver ikke login og ingen handling fra en bruger, kun adgang til systemet over netværket.
Hvem rammer det?
Sårbarheden rammer UMAI Vision Traffic Analysis System i versionerne fra 30 og til, men ikke inklusive, version 34. Det gælder kommuner, vejmyndigheder, entreprenører og andre organisationer, der bruger systemet til at analysere trafikdata. Alle installationer i det nævnte versionsspænd, der er tilgængelige fra netværket, er berørt, uanset om systemet ligger internt eller eksponeret mod internettet.
Hvad kan ske?
En angriber kan læse, ændre eller slette data i databasen bag systemet. I praksis kan det betyde adgang til trafikdata, adgangskoder eller andre følsomme oplysninger, samt manipulation eller nedbrud af hele analysesystemet. For en dansk kommune kan det medføre tab af data, driftsstop for trafikstyring og et sikkerhedsbrud, der skal anmeldes.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger. Det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed, det vil sige angriberen kan læse, ændre og lukke systemet ned. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsesdatoen, men sårbarhedstypen og den lette udnyttelse gør den til et oplagt mål.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den viste rækkefølge.
- Opdatér UMAI Vision Traffic Analysis System til version 34 eller nyere, hvor sårbarheden er rettet.
- Kortlæg, om systemet er tilgængeligt fra internettet, og afskærm det bag firewall eller VPN, hvis det ikke skal være offentligt tilgængeligt.
- Gennemgå logfiler for usædvanlige databaseforespørgsler eller fejlmeddelelser, der kan tyde på tidligere udnyttelse.
- Skift adgangskoder til databasen og tilknyttede konti, hvis der er tegn på uautoriseret adgang.
- Kontakt leverandøren eller en sikkerhedsrådgiver, hvis I ikke kan opdatere med det samme eller er i tvivl om, hvorvidt systemet allerede er kompromitteret.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer til version 34 eller nyere så hurtigt som muligt, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Det er kun forsvarligt at vente, hvis systemet er fuldstændigt isoleret fra netværk og eksterne brugere, og selv da bør opdateringen planlægges inden for kort tid. Er I i tvivl om, hvor systemet er placeret i jeres netværk, hjælper vi gerne med en hurtig gennemgang.
Tidslinje
Konkrete eksempler
Kommunal trafikstyring under angreb
En dansk kommune bruger UMAI Vision Traffic Analysis System til at overvåge trafikflow i bymidten. En angriber sender en manipuleret forespørgsel til systemets webgrænseflade og får adgang til hele databasen med trafikdata og adgangskoder. Kommunen må lukke systemet ned midlertidigt og undersøge, om data er blevet lækket, mens trafikanalysen står stille.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte version?
Tjek versionsnummeret i systemets administrationspanel eller kontakt jeres leverandør af UMAI Vision Traffic Analysis System. Er versionen mellem 30 og 33, er I ramt.
Er sårbarheden udnyttet i praksis?
Der er på offentliggørelsesdatoen ikke rapporteret kendte tilfælde af aktiv udnyttelse. Det ændrer ikke ved, at sårbarheden er let at udnytte og bør rettes hurtigt.
Kan vi vente til weekenden med at opdatere?
Det bør I ikke, hvis systemet er tilgængeligt fra netværket. Angrebet kræver ingen login og kan udføres af enhver, der kan sende forespørgsler til systemet.
Skal vi anmelde noget, hvis vi har brugt en ramt version?
Hvis I finder tegn på, at data er blevet læst eller ændret, kan der være tale om et sikkerhedsbrud, der skal vurderes efter reglerne om databeskyttelse, herunder om det skal anmeldes til Datatilsynet.
Hvad koster det at vente med opdateringen?
At vente betyder, at et system med fuld adgang til databasen forbliver åbent for angreb uden krav om login. Konsekvensen kan være tab af data, driftsstop og efterfølgende oprydning, der typisk er dyrere end selve opdateringen.
Er vi ramt, hvis systemet kun bruges internt?
I er stadig ramt af sårbarheden, men risikoen for udnyttelse er lavere, hvis systemet ikke kan nås fra internettet. Vi anbefaler stadig at opdatere, da interne angreb og fejlkonfigurationer også kan give adgang.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of special elements used in an SQL command (‘SQL injection’) vulnerability in UMAI Vision Traffic Analysis System allows SQL Injection.
This issue affects Traffic Analysis System: from 30 before 34.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.