CVE-2026-54229: Kapløbsfejl i ABRT på Linux-servere
Kapløbsfejl i ABRT’s D-Bus-tjeneste kan give lokale brugere adgang til at overtage systemfiler. Opdatér ABRT ved næste patch-vindue.
Hvad er det?
CVE-2026-54229 er en kapløbsfejl, en race condition, i D-Bus-tjenesten abrt-dbus, som er en del af ABRT: et værktøj til automatisk fejlrapportering på Linux. Metoden ChownProblemDir åbner en dump-mappe, hvor fejldata gemmes, og skifter ejerskab af filerne til den kaldende bruger. Fejlen opstår, fordi denne ejerskabsændring også lykkes, mens et privilegeret script stadig arbejder i mappen og holder en skrivelås. En lokal bruger kan derfor nå at overtage kontrollen over mappens filer, mens et program med højere rettigheder stadig behandler dem.
Hvem rammer det?
Sårbarheden rammer Linux-servere og -arbejdsstationer, hvor ABRT er installeret og abrt-dbus-tjenesten kører. Det gælder typisk Red Hat Enterprise Linux, Fedora, CentOS Stream, Rocky Linux og AlmaLinux, som mange danske virksomheder og kommuner bruger til servere og fagsystemer. Systemer, hvor kun én bruger har adgang, eller hvor abrt-tjenesten er deaktiveret, er ikke berørt.
Hvad kan ske?
En lokal bruger med lave rettigheder, for eksempel en almindelig medarbejderkonto eller en kompromitteret servicekonto, kan udnytte kapløbet til at overtage filer i dump-mappen, mens et privilegeret oprydningsscript stadig arbejder på dem. Det kan give adgang til at læse følsomme data fra hukommelsesdumps, herunder adgangskoder og nøgler, eller til at plante filer, som senere bliver udført med højere rettigheder. I praksis kan det ende med, at en almindelig bruger opnår root-adgang på serveren.
Hvor alvorligt er det?
CVSS-score er 7,0 ud af 10, vurderet som alvorlig. Angrebet kræver lokal adgang til systemet og et login med lave rettigheder, men ingen handling fra en anden bruger. Angrebskompleksiteten er høj, fordi angriberen skal ramme et snævert tidsvindue i kapløbet, hvilket gør det sværere at udnytte end en almindelig fejl, men ikke umuligt for en øvet angriber. Der er ikke kendte tilfælde af aktiv udnyttelse eller offentliggjort angrebskode på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I venter på en rettelse:
- Tjek hos jeres Linux-leverandør (Red Hat, Fedora, Rocky Linux, AlmaLinux) om der er frigivet en opdateret abrt-pakke, og installér den ved næste patch-vindue.
- Hvis der endnu ikke findes en rettelse, kan I midlertidigt stoppe og deaktivere abrtd og abrt-dbus-tjenesten på servere, hvor fejlrapportering ikke er nødvendig.
- Gennemgå, hvilke brugere og servicekonti der har lokal login-adgang til berørte servere, og fjern adgang, der ikke er nødvendig.
- Overvåg logs for usædvanlig aktivitet omkring dump-mapperne under /var/spool/abrt.
- Kontakt jeres it-driftsleverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres servere kører en sårbar version, eller hvis I ikke kan afvikle abrt-tjenesten uden driftspåvirkning.
Opdatér ved næste patch-vindue
Vi anbefaler, at I tjekker jeres Linux-servere for, om abrt-dbus kører, og følger leverandørens opdateringer tæt. Fordi angrebet kræver lokal adgang og en høj angrebskompleksitet, er det ikke akut for de fleste virksomheder, og det er acceptabelt at vente til næste planlagte patch-vindue, så længe I begrænser, hvem der har lokal login-adgang. Kører I servere med mange brugere eller delte konti, bør I prioritere opdateringen højere eller overveje at deaktivere abrt-tjenesten i mellemtiden.
Tidslinje
Konkrete eksempler
Servicekonto eskalerer rettigheder på kommunal server
En dansk kommune kører sagsbehandlingssystemer på Rocky Linux-servere, hvor ABRT er installeret som standard. En servicekonto med lave rettigheder, der i forvejen er delvist kompromitteret gennem en anden svaghed, udnytter kapløbet i abrt-dbus til at overtage en dump-mappe, mens et privilegeret script kører. Kontoen opnår derved skriveadgang til filer, som senere udføres med højere rettigheder, og ender med adgang svarende til root på serveren.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-54229?
I er ramt, hvis I har Linux-servere med ABRT installeret, typisk Red Hat Enterprise Linux, Fedora, CentOS Stream, Rocky Linux eller AlmaLinux, og hvor abrt-dbus-tjenesten kører. Tjek med kommandoen systemctl status abrtd, om tjenesten er aktiv.
Kan vi vente med at opdatere til weekenden?
Ja, i de fleste tilfælde. Fejlen kræver lokal adgang til serveren og en høj angrebskompleksitet, så den er ikke let at udnytte udefra. Har I mange brugere med lokal login-adgang til berørte servere, bør I dog prioritere opdateringen hurtigere.
Skal vi bare slukke abrt-tjenesten?
Det kan bruges som midlertidig løsning, hvis I ikke har brug for automatisk fejlrapportering. Overvej dog, om andre systemer eller supportaftaler er afhængige af ABRT’s crash-dumps, inden I deaktiverer tjenesten permanent.
Hvordan tjekker vi, om vi har en sårbar version af ABRT?
Kør pakkehåndteringens versionskommando, for eksempel rpm -q abrt eller dnf list installed abrt, og sammenhold versionen med den seneste sikkerhedsopdatering fra jeres Linux-leverandør.
Skal vi anmelde hændelsen, hvis vi opdager udnyttelse?
Hvis I finder tegn på, at fejlen faktisk er udnyttet og har givet en uautoriseret bruger forhøjede rettigheder, skal I behandle det som et sikkerhedsbrud og vurdere anmeldelsespligt efter GDPR, hvis persondata kan være berørt.
CVSS-detaljer
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A race condition was found in the abrt-dbus D-Bus service’s ChownProblemDir method. ChownProblemDir opens the dump directory with DD_OPEN_READONLY and calls dd_chown to change ownership of all files to the caller’s uid, succeeding even while post-create event handlers hold a write lock. This allows an attacker to gain filesystem-level control of the dump directory while privileged event scripts are still running.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.