CVE-2026-56099: Datalæk i OpenBSDs MPLS-håndtering

CVE-2026-56099 er en sårbarhed i OpenBSD, der findes i funktionen mpls_do_error i den del af netværksstakken, som håndterer MPLS (en teknik til at dirigere netværkstrafik via mærkede pakker i stedet for almindelige IP-adresser). Fejlen er en out-of-bounds read, en læsning uden for det hukommelsesområde, der er tildelt til opgaven. Den opstår, når systemet modtager en MPLS-pakke med 16 mærker (labels), hvor det bit, der markerer bunden af mærke-stakken, ikke er sat. Det gør, at systemet læser data fra kerne-hukommelsen, som ikke er en del af den modtagne pakke, og kan sende disse data tilbage til afsenderen. Fejlen er rettet i commit 6a23123 fra 18. juni 2026.

Sårbarheden rammer kun OpenBSD-systemer, hvor MPLS er aktiveret og konfigureret i netværksstakken. Det gælder typisk routere, firewalls eller VPN-gateways bygget på OpenBSD, hvor administratoren har slået MPLS-forwarding til, for eksempel for at forbinde kontorer over en tjenesteudbyders MPLS-netværk. Almindelige servere og arbejdsstationer, der kører OpenBSD uden MPLS konfigureret, er ikke berørt. Alle versioner af OpenBSD før commit 6a23123 (18. juni 2026) indeholder fejlen.

En angriber, der kan sende netværkspakker til et sårbart system, kan udløse fejlen ved at sende en specielt udformet MPLS-pakke. Systemet svarer med et fejlsvar, der indeholder data fra kerne-hukommelsen, som ikke burde være synlige udenfor. Dataene kan for eksempel indeholde rester af tidligere netværkstrafik eller adressepointere, som kan bruges til at forberede et videre angreb. Sårbarheden fører ikke i sig selv til, at systemet går ned, eller at angriberen kan ændre data.

CVSS-scoren er 5,3 ud af 10, hvilket klassificeres som moderat. Angrebet kræver ingen login eller brugerhandling og kan udføres over netværket med lav kompleksitet, men det kræver, at MPLS er aktiveret på det ramte system, hvilket begrænser antallet af sårbare systemer markant. Konsekvensen er begrænset til fortrolighed, altså lækage af data, mens integritet og tilgængelighed ikke påvirkes. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden.

Kontrollér, om jeres OpenBSD-systemer har MPLS aktiveret, og handl derefter i denne rækkefølge:

1. Opdatér til en OpenBSD-version, der inkluderer commit 6a23123 eller nyere, på alle systemer med MPLS aktiveret.
2. Undersøg jeres netværksopsætning for at afklare, hvilke systemer der faktisk bruger MPLS-forwarding.
3. Kan opdateringen ikke ske med det samme, deaktivér MPLS-forwarding på de berørte systemer som midlertidig løsning.
4. Gennemgå firewallregler, så kun betroede net kan sende MPLS-trafik til systemerne.
5. Kontakt jeres it-leverandør eller Auroa, hvis I ikke har ressourcer til at vurdere, om jeres netværk bruger MPLS.