CVE-2026-63089: Kritisk fejl i WireGuard Easy
Svag tokengenerering i WireGuard Easy lader angribere gætte engangslinks og stjæle VPN-nøgler. Opdatér til rettelsen efter commit 66b292b.
Hvad er det?
WireGuard Easy er en webbaseret administrationsgrænseflade til VPN-løsningen WireGuard, som mange mindre virksomheder bruger til at give medarbejdere fjernadgang til det interne netværk. Sårbarheden (CVE-2026-63089) sidder i den funktion, der genererer engangslinks til at dele VPN-opsætning med en ny bruger. Linket beregnes med CRC32, en kontrolsumsalgoritme der ikke er beregnet til sikkerhed, over et tilfældigt tal mellem 0 og 999. Det betyder, at der kun findes 1.000 mulige tokens per bruger-id. Ruten /cnf/:oneTimeLink, der bruger tokenet, kræver ikke login, har ingen begrænsning på antal forsøg og kontrollerer ikke, om linket er udløbet.
Hvem rammer det?
Alle, der kører WireGuard Easy i version op til og med 15.3.0, er ramt. Det gælder typisk mindre og mellemstore virksomheder samt it-afdelinger i kommuner, der selv har sat en VPN-adgang op til fjernarbejdere eller leverandører via denne administrationsgrænseflade. Fejlen er rettet i commit 66b292b.
Hvad kan ske?
En angriber uden login kan gennemprøve de op til 1.000 mulige tokens for et kendt bruger-id og på den måde få adgang til brugerens PrivateKey og PresharedKey, de to nøgler der beviser identitet på VPN’en. Med dem kan angriberen udgive sig for at være den legitime bruger og opnå adgang til virksomhedens interne netværk, som var det en normal fjernarbejder der loggede på.
Hvor alvorligt er det?
CVSS-scoren er 9,3 af 10, kritisk. Angrebet kræver ingen adgangskode, intet login og ingen handling fra en bruger, det kan udføres direkte over internettet mod den sårbare rute. Konsekvensen er høj fortrolighed (angriberen kan læse nøglemateriale), mens fejlen ikke i sig selv giver mulighed for at ændre data eller lukke systemet ned. Der er ikke rapporteret aktiv udnyttelse i produktion, men angrebsmetoden er beskrevet så detaljeret, at den er let at gengive teknisk.
Hvad gør jeg nu?
Sådan lukker I hullet:
- Opdatér WireGuard Easy til en version, der indeholder rettelsen fra commit 66b292b, eller nyere.
- Inaktivér eller slet alle eksisterende engangslinks, der er udstedt før opdateringen, da de kan være gættet allerede.
- Gennemtving nye VPN-nøgler (PrivateKey og PresharedKey) for alle peers, så eventuelt kompromitteret nøglemateriale bliver ubrugeligt.
- Begræns adgangen til administrationsgrænsefladen, så /cnf/:oneTimeLink kun kan nås fra betroede ip-adresser, indtil opdateringen er gennemført.
- Gennemgå VPN-loggen for ukendte eller mistænkelige forbindelser i perioden op til opdateringen.
- Er I i tvivl om, hvordan I ruller nøgler eller læser loggen, så bed en it-sikkerhedsleverandør om hjælp, inden I går videre.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer WireGuard Easy med det samme og udsteder nye VPN-nøgler til alle brugere, da gamle nøgler kan være kompromitteret allerede. Det er kun forsvarligt at vente, hvis administrationsgrænsefladen ikke er tilgængelig fra internettet og kun kan nås fra et allerede afskærmet netværk. I så fald bør opdateringen stadig planlægges inden for kort tid.
Tidslinje
Konkrete eksempler
Fjernarbejder hos en dansk mellemstor virksomhed
En it-afdeling i en mellemstor dansk virksomhed bruger WireGuard Easy til at give medarbejdere adgang til det interne netværk hjemmefra. En angriber, der kender en medarbejders bruger-id, gennemprøver de 1.000 mulige tokens mod /cnf/:oneTimeLink og finder det gyldige link. Angriberen henter derved medarbejderens PrivateKey og PresharedKey og kan nu logge på VPN’en som medarbejderen, uden at nogen har afgivet en adgangskode.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører WireGuard Easy i version 15.3.0 eller ældre. Tjek versionsnummeret i administrationsgrænsefladen eller i jeres installationsfil, og sammenhold det med commit 66b292b, hvor fejlen er rettet.
Kan vi vente til weekenden med at opdatere?
Det kan I, hvis administrationsgrænsefladen ikke er tilgængelig fra internettet. Er den derimod åben udefra, bør opdateringen ske samme dag, da angrebet ikke kræver login eller adgangskode.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå loggen for ruten /cnf/:oneTimeLink for et usædvanligt højt antal forespørgsler mod samme bruger-id, det kan indikere at nogen har gennemprøvet de mulige tokens.
Skal vi anmelde dette som et sikkerhedsbrud?
Hvis I finder tegn på, at en peer er blevet efterlignet på jeres VPN og der er sket adgang til persondata, skal I vurdere jeres oplysningspligt efter databeskyttelsesreglerne. Er I i tvivl, bør I søge juridisk rådgivning eller kontakte en sikkerhedsrådgiver.
Er det nok at opdatere, eller skal vi også gøre andet?
Opdateringen lukker selve fejlen, men eksisterende nøgler kan allerede være kompromitteret. Vi anbefaler derfor også at rulle nye nøgler til alle peers og slette gamle engangslinks.
Hvor lang tid tager det at rette fejlen i praksis?
Selve opdateringen af WireGuard Easy tager typisk under en time. Udrulning af nye nøgler til alle brugere tager længere tid afhængigt af antallet af peers, men bør planlægges samme dag som opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WireGuard Easy through 15.3.0, fixed in commit 66b292b, contains a cryptographically weak one-time link token generation vulnerability that allows unauthenticated network attackers to recover WireGuard peer credentials by brute-forcing a keyspace of at most 1000 candidate tokens per client ID, as the token is computed using CRC32 over a random value constrained to 0-999. Attackers can enumerate candidate tokens against the unauthenticated /cnf/:oneTimeLink route, which lacks rate limiting and does not validate token expiration, to obtain a peer’s PrivateKey and PresharedKey and impersonate that peer on the VPN network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.