CVE-2026-54228: Sårbarhed i abrt-dbus på Linux

CVE-2026-54228 er en sårbarhed i abrt-dbus, som er en systemtjeneste på Linux der automatisk indsamler og rapporterer programnedbrud. Fejlen er af typen TOCTOU (time-of-check time-of-use) — på dansk betyder det, at der er et lille tidsvindue mellem to operationer, som en angriber kan udnytte. Konkret sker det i tjenestens SetElement-funktion: Mellem det tidspunkt, hvor en nedbrudsmappen oprettes, og det tidspunkt, hvor systemet validerer indholdet, kan en lokal bruger snige vilkårlige filer ind i en mappe, der normalt kun må skrives til af systemets administrator (root). Det giver mulighed for at omgå sikkerhedstjek og få upakket software til at overleve systemets valideringsproces.

Sårbarheden rammer systemer der kører Linux med abrt-dbus installeret — typisk Red Hat-baserede distributioner som RHEL, CentOS, AlmaLinux og Fedora, hvor ABRT (Automatic Bug Reporting Tool) ofte er installeret som standard. Risikoen er til stede, hvis din virksomhed bruger Linux-servere eller Linux-arbejdsstationer med denne tjeneste aktiv. Angrebet kræver, at angriberen allerede har adgang til en lokal brugerkonto på systemet — det kan fx være en medarbejder, en kompromitteret konto eller en anden proces der kører med begrænsede rettigheder.

En angriber med en almindelig brugerkonto på systemet kan udnytte sårbarheden til at skrive vilkårlige filer ind i root-ejede mapper. Det kan føre til:

• Rettighedseskalering — angriberen opnår administrator- eller root-rettigheder på systemet (fuld kontrol).
• Omgåelse af pakkehåndtering — skadelig kode kan indsættes uden at blive opdaget af systemets normale sikkerhedstjek.
• Kompromittering af fortrolighed, integritet og tilgængelighed — alle tre CVSS CIA-kategorier er vurderet til HIGH, hvilket betyder, at et vellykket angreb kan give adgang til alle data, mulighed for at ændre alt og potentielt lukke systemer ned.

Sårbarheden er vurderet til CVSS 7.8 — Alvorlig. Angrebet kræver kun lav kompleksitet, begrænsede rettigheder og ingen interaktion fra andre brugere. Det betyder, at en angriber med selv en simpel brugerkonto relativt nemt kan udnytte fejlen. Da angrebet er lokalt (kræver adgang til maskinen), er det ikke direkte tilgængeligt fra internettet — men kombineret med fx en phishing-hændelse, et svagt kodeord eller en anden sårbarhed der giver adgang, er risikoen meget konkret. Særligt i miljøer med delte Linux-servere eller flere medarbejdere med systemadgang bør dette tages alvorligt.

Følg disse trin for at beskytte din virksomhed:

1. Identificér berørte systemer: Tjek om dine Linux-servere eller -arbejdsstationer kører abrt eller abrt-dbus. Det kan du gøre ved at køre kommandoen rpm -q abrt-dbus i terminalen på Red Hat-baserede systemer.
2. Opdatér eller patch: Tjek om din Linux-distribution har udsendt en sikkerhedsopdatering til abrt-dbus og installér den hurtigst muligt via din pakkehåndtering (fx dnf update abrt på RHEL/Fedora).
3. Deaktivér tjenesten midlertidigt: Hvis ingen opdatering er tilgængelig endnu, og du ikke har brug for automatisk fejlrapportering, kan du midlertidigt slå abrt-dbus fra med systemctl disable --now abrt-dbus.
4. Begræns lokal adgang: Sørg for at kun nødvendige medarbejdere har lokale brugerkonti på kritiske Linux-systemer, og at kodeord er stærke og unikke.
5. Monitorér for mistænkelig aktivitet: Hold øje med uventede filoprettelser i systemdirektorier og usædvanlig aktivitet fra lokale brugerkonti.
6. Kontakt din IT-leverandør: Hvis du er i tvivl om din eksponering, så kontakt din IT-driftspartner eller Auroa for en vurdering.