CVE-2026-61500: Kritisk fejl i Rejetto HFS-filserver
Rejetto HFS 3.0.0-3.2.0 bruger en svag nøglegenerator til login-cookies. Angribere kan forfalske admin-adgang og køre kode uden login.
Hvad er det?
En sårbarhed i Rejetto HFS (HTTP File Server), CVE-2026-61500, gør det muligt for en angriber at overtage serveren som administrator uden at logge ind. Fejlen ligger i den nøgle, serveren bruger til at underskrive login-cookies (session-cookies). Nøglen bliver lavet med Math.random(), en tilfældighedsgenerator, der ikke er kryptografisk sikker og derfor kan gættes. Serveren afgiver samtidig oplysninger fra samme generator til alle, der forsøger at logge ind, uden krav om gyldigt login. En angriber kan opsamle et lille antal af disse svar, udregne generatorens interne tilstand, genskabe nøglen og herefter selv forfalske en gyldig administrator-cookie. Med den kan angriberen bruge HFS’ funktion server_code til at afvikle egen kode på serveren.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Rejetto HFS version 3.0.0 til og med 3.2.0 som filserver, ofte til intern eller ekstern fildeling. HFS bruges typisk af mindre IT-afdelinger til hurtig, letvægtsdeling af filer, og servere, der er tilgængelige fra internettet, er særligt udsatte, da angrebet kan udføres helt uden brugerkonto.
Hvad kan ske?
En angriber, der forfalsker en administrator-cookie, får fuld kontrol over HFS-serveren og kan uploade og køre eget program på maskinen. I praksis betyder det, at filer på serveren kan læses, ændres eller slettes, og at serveren kan bruges som indgang til resten af virksomhedens netværk, for eksempel til at sprede ransomware eller stjæle data.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Det er ikke dokumenteret, at sårbarheden aktivt udnyttes eller at der findes offentligt tilgængelig angrebskode, men den lave kompleksitet gør, at det kan ændre sig hurtigt.
Hvad gør jeg nu?
Der findes ikke oplyst en officiel rettelse fra Rejetto på tidspunktet for offentliggørelsen, så I skal handle på infrastrukturen, ikke kun vente på en opdatering.
- Tag HFS-serveren af internettet, eller begræns adgang til den, så den kun kan nås fra virksomhedens eget netværk via firewall.
- Undersøg om jeres HFS-installation er version 3.0.0 til 3.2.0, og planlæg at skifte til en anden filserverløsning, hvis der ikke kommer en officiel rettelse.
- Gennemgå logfiler for usædvanlige login-forsøg og adgang til administrationsfunktioner, især server_code.
- Skift alle administratoradgangskoder og session-nøgler på serveren, hvis den har været tilgængelig fra internettet.
- Overvåg serveren løbende, indtil den er udskiftet eller lukket ned.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres server allerede er kompromitteret.
Isolér serveren i dag
Vi anbefaler, at I straks lukker adgangen til HFS-serveren fra internettet og vurderer, om softwaren stadig skal bruges. Da der ikke findes en officiel rettelse, bør I se på en anden filserverløsning som permanent fremtidssikret erstatning. Det er kun i orden at vente, hvis serveren allerede er fuldstændig isoleret fra internettet og eksterne netværk.
Tidslinje
Konkrete eksempler
Filserver hos en dansk produktionsvirksomhed
En mellemstor produktionsvirksomhed bruger Rejetto HFS til at dele tegninger og dokumenter med underleverandører over internettet. En angriber opsamler et par login-svar fra serveren, genskaber nøglen og logger ind som administrator. Herefter uploader angriberen skadelig kode via server_code-funktionen og får fuld adgang til virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Rejetto HFS version 3.0.0 til og med 3.2.0. Tjek versionen i serverens administrationspanel eller i installationsfilerne.
Kan vi vente til weekenden med at gøre noget?
Nej, ikke hvis serveren er tilgængelig fra internettet. Angrebet kræver ikke login og kan udføres automatisk, så eksponerede servere bør afskærmes fra internettet så hurtigt som muligt.
Findes der en opdatering, vi kan installere?
Der er ikke oplyst en officiel rettelse fra Rejetto på tidspunktet for offentliggørelsen. Indtil det ændrer sig, er isolering af serveren og eventuel udskiftning af softwaren den bedste beskyttelse.
Hvordan finder vi ud af, om vi allerede er blevet angrebet?
Gennemgå adgangslogfiler for gentagne login-forsøg fra samme kilde og for aktivitet i funktionen server_code, som bruges til at afvikle kode på serveren. Uventede administratorlogins uden kendt bruger er et advarselstegn.
Skal vi anmelde dette til myndighederne?
Hvis I konstaterer, at serveren er blevet kompromitteret og persondata er berørt, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler om databrud. Det gælder uafhængigt af, om selve sårbarheden i sig selv anmeldes.
Kan vi bare skjule serveren bag en anden port for at være sikre?
Nej, det løser ikke problemet. Sårbarheden ligger i, hvordan login-cookien laves, ikke i hvilken port serveren kører på. Kun rigtig isolering fra internettet eller udskiftning af softwaren fjerner risikoen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random() generator and discloses outputs of the same generator to unauthenticated clients during login. A remote attacker can collect a small number of login responses, reconstruct the generator’s state, recover the signing key, and forge a valid administrator session cookie, leading to full administrative access and remote code execution via the server_code configuration feature.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.