CVE-2026-54228: Fejl i abrt-dbus rammer Linux-servere

CVE-2026-54228 er en race condition af typen TOCTOU (time-of-check time-of-use) i D-Bus-tjenesten abrt-dbus, som findes på Red Hat-baserede Linux-systemer som RHEL, Fedora, CentOS, AlmaLinux og Rocky Linux. ABRT er et system til automatisk fejlrapportering, der opretter en midlertidig mappe med rettigheder som root, hver gang et program går ned. Sårbarheden opstår i det korte tidsrum mellem, at mappen bliver oprettet, og at systemet efterfølgende kontrollerer, om fejlen stammer fra et installeret pakke-program. I det tidsrum kan en lokal bruger kalde metoden SetElement og skrive vilkårlige tekstfiler ind i den root-ejede mappe, før kontrollen når at køre. Det gør det muligt at narre systemet til at behandle en konstrueret fejlmelding fra et ikke-installeret program, som var den ægte.

Det rammer Linux-servere og arbejdsstationer, der kører abrt-dbus tjenesten. Det gælder typisk RHEL, CentOS Stream, Fedora, AlmaLinux og Rocky Linux, hvor ABRT ofte er installeret og aktiveret som standard. Det er relevant for jer, hvis I har Linux-baserede applikationsservere, webservere eller databaser, hvor flere brugere eller tjenestekonti har lokal login-adgang, herunder via SSH.

En bruger med almindelig, lav rettighed på serveren kan udnytte fejlen til at skrive filer ind i en mappe, som ellers kun root må skrive i. Det kan bruges som et første skridt til at eskalere sine rettigheder på serveren, altså gå fra en almindelig brugerkonto til fuld kontrol med systemet. For en dansk virksomhed er det praktiske problem, at en angriber, der allerede har fået fodfæste, for eksempel gennem en sårbar webapplikation, kan bruge denne fejl til at komme videre og få adgang til flere systemer eller data på serveren.

CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til systemet, altså en eksisterende konto eller adgang via en anden sårbarhed. Der kræves kun lave rettigheder og ingen handling fra en bruger, og kompleksiteten er lav, hvilket betyder, at angrebet er forholdsvis nemt at gennemføre, når først man har adgang. Konsekvenserne er høje på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden.

Sårbarheden kræver, at nogen allerede har lokal adgang til systemet, så første skridt er at afgøre, om ABRT overhovedet er i brug hos jer.

1. Tjek om abrt-dbus kører på jeres Linux-servere med kommandoerne rpm -q abrt og systemctl status abrtd.
2. Er ABRT ikke nødvendigt, især på produktionsservere uden interaktive brugere, så deaktivér og fjern tjenesten.
3. Følg jeres Linux-distributions sikkerhedsadvarsler for en opdateret abrt/abrt-dbus pakke, og installér den, så snart den udkommer.
4. Begræns, hvor mange konti der har lokal login- eller shell-adgang til Linux-servere, og fjern unødvendig adgang.
5. Gennemgå logfiler for usædvanlig aktivitet omkring ABRT og dump-mapper, hvis I mistænker misbrug.
6. Få hjælp udefra, hvis I ikke selv har kompetencer til at vurdere, om jeres Linux-servere er ramt, eller til at håndtere pakke-opdateringer på tværs af jeres serverpark.