CVE-2026-61498: Kritisk fejl i Vitec Flamingo
Vitec Flamingo 4.12.2 har en kritisk sårbarhed (CVE-2026-61498), der lader angribere uden login køre kommandoer med rootrettigheder på serveren.
Hvad er det?
CVE-2026-61498 er en kommandoinjektion, en fejltype hvor et program sender brugerens input direkte videre til styresystemet uden at rense det først, i Vitec Flamingo version 4.12.2. Fejlen sidder i endepunktet admin/ajax/gen_graphs.php, som bruges til at generere grafer. Parametrene start, end, key og format sendes ubehandlet videre til en systemfunktion kaldet passthru(), der udfører kommandoer på serveren. Fordi webserverens bruger har adgang til sudo uden adgangskode, kan en angriber gå direkte fra en webforespørgsel til fuld kontrol over serveren som root.
Hvem rammer det?
Det rammer virksomheder, der kører Vitec Flamingo 4.12.2, herunder ejendomsmæglerkontorer og administratorer, der bruger systemet til sagsstyring og salgsmateriale. Sårbarheden kræver ingen login og kan udnyttes af enhver, der kan sende en webforespørgsel til admin/ajax/gen_graphs.php. Er systemet tilgængeligt fra internettet, er det udsat uanset firewall på netværksniveau.
Hvad kan ske?
En angriber kan overtage serveren fuldstændigt, læse og slette data, installere skadelig kode eller kryptere systemet til afpresning. For en ejendomsmægler betyder det risiko for at miste adgang til kundedata, salgsaftaler og økonomiske oplysninger om både købere og sælgere. Serveren kan også bruges som springbræt videre ind i virksomhedens øvrige netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, fordi angriberen opnår rootrettigheder. Der er ikke oplyst tegn på aktiv udnyttelse i sikkerhedsrapporten, men det tekniske detaljeniveau i beskrivelsen tyder på, at en fungerende metode allerede er offentligt kendt.
Hvad gør jeg nu?
Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.
- Bloker adgang til admin/ajax/gen_graphs.php fra internettet med det samme, enten via webserverkonfiguration eller firewallregel.
- Kontakt Vitec for at få bekræftet, om der findes en opdateret version, og opdatér Flamingo så snart den er tilgængelig.
- Fjern passwordless sudo-adgang for den bruger, webserveren kører som, så et fremtidigt hul ikke automatisk giver rootadgang.
- Gennemgå webserverens logfiler for usædvanlige kald til gen_graphs.php med mistænkelige tegn i parametrene.
- Skift adgangskoder og nøgler på serveren, hvis I finder tegn på, at endepunktet er blevet kaldt af udefrakommende.
- Søg ekstern hjælp, hvis I ikke selv kan afgøre, om systemet har været udsat, eller hvis I finder spor efter misbrug.
Bloker adgang inden for 24 timer
Vi anbefaler, at I straks blokerer ekstern adgang til admin/ajax/gen_graphs.php og fjerner passwordless sudo for webserverbrugeren, uanset om en officiel opdatering er klar. Kontakt Vitec for status på en rettelse, og hold systemet isoleret fra internettet, indtil den foreligger. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet.
Tidslinje
Konkrete eksempler
Ejendomsmæglerkontor rammes af afpresning
Et mindre ejendomsmæglerkontor kører Vitec Flamingo på en server, der er tilgængelig fra internettet for medarbejdere på farten. En angriber finder det sårbare endepunkt, opnår rootadgang og krypterer virksomhedens filserver, herunder salgsaftaler og kundedata om købere og sælgere. Kontoret står uden adgang til systemet og må vælge mellem at betale løsesum eller genopbygge fra sikkerhedskopi, samtidig med at de skal vurdere, om persondata er kompromitteret.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek om jeres organisation kører Vitec Flamingo version 4.12.2, og om admin/ajax/gen_graphs.php er tilgængeligt fra internettet. Gennemgå webserverens logfiler for kald til dette endepunkt med usædvanlige tegn i parametrene start, end, key eller format.
Kan vi vente til weekenden med at lukke hullet?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes af enhver med netværksadgang til systemet. Bloker adgangen til det sårbare endepunkt så hurtigt som muligt, uafhængigt af den normale opdateringscyklus.
Findes der en officiel opdatering fra Vitec?
Der er ikke oplyst en officiel rettelse i sikkerhedsrapporten. Kontakt Vitec direkte for at høre om status, og indfør i mellemtiden adgangsbegrænsning som midlertidig løsning.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder bevis for, at systemet er blevet kompromitteret, og der er tale om et sikkerhedsbrud med adgang til personoplysninger, skal I vurdere anmeldelse til Datatilsynet efter databeskyttelsesreglerne. Vi anbefaler også at kontakte CFCS eller et incident response-team ved mistanke om aktivt indbrud.
Er det nok at flytte systemet bag en firewall?
Det reducerer risikoen betydeligt, men det er ikke en permanent løsning. Den bagvedliggende fejl i koden består, indtil endepunktet rettes eller den sårbare funktion fjernes, og passwordless sudo bør under alle omstændigheder fjernes.
Hvor stor er risikoen, hvis vores server ikke er tilgængelig fra internettet?
Risikoen er markant lavere, men ikke nul, hvis en angriber allerede har adgang til det interne netværk, for eksempel via phishing på en medarbejders maskine. Vi anbefaler stadig at fjerne passwordless sudo og opdatere, når det bliver muligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Vitec Flamingo 4.12.2 contains an unauthenticated OS command injection vulnerability in the admin/ajax/gen_graphs.php endpoint that allows remote unauthenticated attackers to execute arbitrary commands by supplying shell metacharacters in the start, end, key, or format HTTP GET parameters. Attackers can exploit the lack of input sanitization in the graph generation script, which passes user-supplied values directly to shell commands via passthru(), to execute arbitrary OS commands with root privileges due to the web server context having passwordless sudo access.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.