CVE-2026-56160: Rettighedsfejl i Azure Red Hat OpenShift
Rettighedsfejl i Azure Red Hat OpenShift (ARO) gør, at brugere med adgang kan eskalere til fulde rettigheder over netværket.
Hvad er det?
CVE-2026-56160 er en sårbarhed i Azure Red Hat OpenShift (ARO), en administreret Kubernetes-platform, som Microsoft og Red Hat driver i skyen. Fejlen skyldes utilstrækkelig godkendelse af adgangsrettigheder, kaldet CWE-285: systemet kontrollerer ikke korrekt, om en bruger har ret til at udføre en given handling. En bruger, der allerede har fået tildelt høje rettigheder i klyngen, kan derfor udnytte fejlen til at hæve sine rettigheder yderligere over netværket, uden at en anden bruger skal godkende eller klikke på noget. Fordi angrebet kan ændre sikkerhedsomfanget, kan konsekvenserne brede sig til ressourcer uden for den oprindelige klynge eller det oprindelige projekt.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører arbejdsbelastninger i Azure Red Hat OpenShift (ARO), Microsofts administrerede OpenShift-tjeneste i Azure-skyen. Det gælder både produktions- og testklynger, hvor brugere allerede har fået tildelt privilegerede roller, for eksempel udviklere eller administratorer med adgang til bestemte projekter eller navnerum. NVD angiver ingen specifikke versionsnumre, da ARO er en løbende opdateret cloud-tjeneste, men alle kunder med aktive ARO-klynger bør forholde sig til fejlen.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner, der har fået begrænset adgang til en OpenShift-klynge, kan udnytte fejlen til at opnå administratorrettigheder over hele klyngen eller flere klynger. Det giver mulighed for at læse, ændre og slette data i andre projekter, stoppe drift af applikationer og oprette nye adgange, der er svære at opdage bagefter. For en dansk virksomhed, der bruger ARO til kundevendte systemer eller intern drift, kan det betyde datalæk, driftsstop og et sikkerhedsbrud, som skal undersøges og eventuelt anmeldes.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen handling fra en anden bruger og kan udføres over netværket med lav kompleksitet. Til gengæld kræver det, at angriberen allerede har høje rettigheder i systemet, altså ikke en helt udefrakommende uden nogen adgang. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed, og fordi sikkerhedsomfanget ændres, kan skaden brede sig ud over den oprindelige klynge. Der er ikke i NVD-data oplysning om, at sårbarheden aktivt udnyttes i angreb.
Hvad gør jeg nu?
Følg disse skridt for at reducere risikoen ved CVE-2026-56160:
- Kontrollér i Azure-portalen eller via Microsofts sikkerhedsmeddelelser, at jeres ARO-klynger kører på en platformversion, hvor rettelsen er udrullet, og abonnér på opdateringer for denne sårbarhed.
- Gennemgå alle privilegerede roller og adgangsrettigheder i jeres OpenShift-klynger, og fjern rettigheder, der ikke er strengt nødvendige.
- Aktivér eller gennemgå logning af rettighedsændringer i klyngerne, så uautoriserede eskaleringer kan opdages.
- Gennemgå logfiler for usædvanlig aktivitet fra brugere med privilegerede roller siden offentliggørelsen den 24. juli 2026.
- Dokumentér jeres gennemgang som led i sikkerhedsstyringen, så I kan vise det ved en senere revision.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at gennemgå rettigheder og logs, eller hvis I finder tegn på misbrug.
Tjek adgangsrettigheder inden for 7 dage
Vi anbefaler, at I straks gennemgår, hvilke brugere og tjenestekonti der har privilegerede roller i jeres ARO-klynger, og at I følger Microsofts vejledning til denne sårbarhed via Azure Service Health eller supportkanaler. Da ARO er en administreret tjeneste, udrulles den underliggende platformrettelse typisk af Microsoft, men I skal selv sikre, at rettighedstildelinger følger mindsteprivilegie-princippet. Det er kun i orden at vente, hvis I har bekræftet fra Microsoft, at platformen er rettet, og at der ikke er registreret usædvanlig aktivitet i jeres klynger.
Tidslinje
Konkrete eksempler
Udvikler eskalerer rettigheder i intern klynge
En dansk produktionsvirksomhed lader eksterne konsulenter arbejde i et afgrænset projekt i selskabets ARO-klynge. En konsulent udnytter fejlen til at hæve sine rettigheder til klyngeniveau og får derved adgang til andre afdelingers data og driftsindstillinger. Virksomheden opdager først episoden ved en efterfølgende log-gennemgang.
Ofte stillede spørgsmål
Er vi ramt, hvis vi bruger Azure Red Hat OpenShift?
Hvis I har aktive ARO-klynger, er I potentielt berørt. Risikoen er størst, hvis flere brugere eller tjenestekonti har fået privilegerede roller i klyngerne.
Hvordan tjekker vi, om vores klynger er sårbare?
Se i Azure-portalen under jeres ARO-ressourcer efter platformversion og eventuelle sikkerhedsmeddelelser fra Microsoft. Gennemgå desuden jeres rollebaserede adgangsstyring for at se, hvem der har administratoradgang.
Kan vi vente til weekenden med at handle?
Kun hvis I har bekræftet, at Microsoft allerede har udrullet rettelsen til jeres klynger, og at I ikke har fundet usædvanlig aktivitet i logs. Er I i tvivl, bør gennemgangen af rettigheder ske inden for få dage.
Kræver angrebet, at en ekstern hacker uden adgang kan udnytte fejlen?
Nej. Angriberen skal allerede have fået tildelt høje rettigheder i systemet, for eksempel som udvikler eller projektadministrator. Risikoen ligger derfor i, at en person med begrænset adgang kan hæve sine rettigheder yderligere.
Hvem retter selve fejlen, os eller Microsoft?
Den underliggende platformfejl rettes af Microsoft og Red Hat, da ARO er en administreret tjeneste. I skal selv sikre, at jeres rollebaserede adgangsstyring er korrekt konfigureret, og at I overvåger for misbrug.
Skal vi anmelde det til Datatilsynet?
Kun hvis jeres gennemgang viser, at fejlen er blevet udnyttet, og at persondata er kompromitteret. Uden tegn på misbrug er der ikke i sig selv anmeldelsespligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper authorization in Azure Red Hat OpenShift (ARO) allows an authorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.