CVE-2026-54231: Indholdsindsprøjtning i ABRT/libreport
En sårbarhed i ABRT/libreport lader en lokal bruger indsprøjte vilkårligt indhold i filer, som root skriver. Opdatér når leverandøren udsender en rettelse.
Hvad er det?
CVE-2026-54231 er en sårbarhed i libreport, som er den komponent i ABRT (Automatic Bug Reporting Tool), der samler logoplysninger, når et program går ned. Fejlen ligger i de scripts, der køres efter en fejlrapport er oprettet. Scriptet spørger systemets journal, en central logtjeneste i Linux, om poster fra det nedbrudte program og skriver svaret direkte til filer i en dump-mappe uden at fjerne styretegn som linjeskift. Det er en type fejl kaldet indholdsindsprøjtning (CWE-74), hvor data fra en bruger blandes ind i indhold, som systemet stoler på. En lokal bruger kan derfor lægge egne linjeskift ind i syslog-beskeder og dermed styre, hvad root efterfølgende skriver til filerne i dump-mappen.
Hvem rammer det?
Sårbarheden findes i libreport, som bruges af ABRT på Linux-distributioner som Red Hat Enterprise Linux, Fedora og CentOS. Det rammer virksomheder, der kører servere eller arbejdsstationer på disse distributioner med ABRT aktiveret, typisk til automatisk fejlovervågning og crash-rapportering. Systemer, hvor flere lokale brugere har login-adgang, for eksempel delte udviklings- eller testservere, er mest udsat.
Hvad kan ske?
En lokal bruger med almindelige rettigheder kan manipulere det indhold, root skriver til dump-mappens filer. I praksis betyder det, at en person med adgang til en server kan forfalske eller forurene logdata, som administratorer senere læser og stoler på. Det kan bruges til at skjule spor efter andre uregelmæssigheder, sende vildledende oplysninger til fejlsøgningsværktøjer eller, hvis dataene senere behandles af andre scripts uden validering, som et springbræt til yderligere angreb.
Hvor alvorligt er det?
CVSS-scoren er 5,5 af 10, hvilket NVD betegner som moderat. Angrebet kræver lokal adgang til systemet, men ingen brugerinteraktion fra andre, og angriberen behøver kun lave rettigheder for at udnytte det. Kun integritet er påvirket i høj grad, det vil sige at data kan ændres, mens fortrolighed og tilgængelighed ikke berøres. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb.
Hvad gør jeg nu?
Følgende skridt lukker og begrænser risikoen, indtil en officiel rettelse er tilgængelig.
- Tjek om jeres Linux-leverandør (Red Hat, Fedora eller CentOS) har udgivet en sikkerhedsopdatering til libreport, og installér den, så snart den er tilgængelig.
- Indtil en opdatering findes, kan I deaktivere ABRT’s automatiske hændelsesscripts, der håndterer skrivning af crash-logdata, for at fjerne den sårbare funktion.
- Begræns antallet af lokale brugere med login-adgang til servere, der kører ABRT og libreport.
- Overvåg dump-mappen, typisk /var/spool/abrt, for uventede filer eller usædvanligt indhold.
- Gennemgå logs regelmæssigt for tegn på manipulerede journalposter fra ukendte kilder.
- Kontakt os, hvis I mangler ressourcer til at vurdere jeres eksponering eller hærde jeres Linux-servere.
Opdatér, når leverandøren udgiver rettelse
Vi anbefaler, at I holder øje med jeres Linux-leverandørs sikkerhedsbulletiner og installerer en rettelse til libreport, så snart den udkommer. Indtil da bør I begrænse lokal adgang til servere med ABRT aktiveret og overvåge dump-mappen for uregelmæssigheder. Har I ikke flere lokale brugere på de pågældende systemer, kan det være i orden at vente på en almindelig opdateringscyklus, men vi vil ikke anbefale at ignorere sårbarheden helt.
Tidslinje
Konkrete eksempler
Delt udviklingsserver med flere brugere
En dansk it-virksomhed kører en delt Linux-udviklingsserver, hvor flere udviklere har lokale konti. En udvikler med almindelige rettigheder indsætter linjeskift i en syslog-besked for at manipulere de crash-logfiler, som ABRT genererer under root. Administratoren, der senere gennemgår dump-mappen for at fejlsøge en nedbrudt tjeneste, ser forfalskede eller vildledende oplysninger og bruger unødig tid på at spore den rigtige fejl.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I kører Red Hat Enterprise Linux, Fedora eller CentOS med ABRT og libreport installeret, og hvis flere lokale brugere har adgang til de samme systemer.
Hvordan tjekker vi, om libreport er installeret og sårbart?
Kør en pakkeforespørgsel, for eksempel rpm -q libreport eller dnf list installed libreport, på jeres Linux-servere og sammenhold versionen med jeres distributions sikkerhedsbulletiner.
Kan vi vente med at handle til den næste planlagte opdatering?
Hvis kun betroede administratorer har lokal adgang til de berørte systemer, er risikoen begrænset, og I kan vente til næste opdateringsvindue. Har I mange lokale brugere, bør I deaktivere de sårbare hændelsesscripts nu.
Kræver angrebet adgang udefra?
Nej, sårbarheden kræver lokal adgang til systemet. En angriber skal allerede have en konto eller adgang til en shell på maskinen, før fejlen kan udnyttes.
Skal vi anmelde dette som et sikkerhedsbrud?
Sårbarheden i sig selv udgør ikke et brud, men hvis I finder tegn på, at en lokal bruger faktisk har udnyttet den til at manipulere logdata, bør I behandle det som en sikkerhedshændelse og vurdere anmeldelsespligt efter jeres normale procedurer.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A content injection vulnerability was found in the ABRT post-create event handler scripts in libreport. The event script queries the systemd journal for log entries matching the crashed process and writes the results to files in the dump directory without sanitizing embedded control characters. A local user can inject arbitrary content into the journal output by embedding newline characters in syslog messages, controlling the content that root writes to dump directory files.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.