CVE-2026-64625: Kritisk kommandoinjektion i AVideo
AVideo før version 29.0 har et hul, hvor angribere uden login kan afvikle systemkommandoer. Opdatér til 29.0.
Hvad er det?
AVideo er en selvhostet platform til video og livestreaming, som mange organisationer bruger som alternativ til YouTube. CVE-2026-64625 er en sårbarhed i den måde, AVideo afvikler kommandoer på serveren gennem funktionen execAsync(). Sårbarheden findes, fordi en tidligere rettelse af CVE-2026-45578 ikke lukkede hullet helt: execAsync() pakker stadig de beskyttede kommandoer ind i dobbelte anførselstegn i et sh -c kald. Det gør det muligt at indsætte nye kommandoer ved hjælp af kommandosubstitution med $() eller bagvendte anførselstegn, kaldet backticks. En angriber kan udnytte dette gennem Live-pluginets endpoint on_publish.php og få serveren til at afvikle vilkårlige styresystemkommandoer, uden at være logget ind.
Hvem rammer det?
Sårbarheden rammer alle, der kører AVideo i en version før 29.0, og som har Live-pluginet aktiveret. Det gælder typisk kommuner, uddannelsesinstitutioner og virksomheder, der selv hoster video- eller livestreamingløsninger til intern kommunikation, undervisning eller kundevendte platforme. Er serveren tilgængelig fra internettet, kan sårbarheden udnyttes uden nogen form for adgangskode eller brugerinteraktion.
Hvad kan ske?
En angriber, der udnytter sårbarheden, kan afvikle vilkårlige kommandoer på serveren med samme rettigheder som webserverprocessen. I praksis betyder det, at angriberen kan installere skadelig kode, oprette adgangsveje til det interne netværk, stjæle data fra serveren eller lægge grunden for et ransomwareangreb. Fordi ingen login kræves, kan angrebet ske automatiseret og i stor skala mod alle sårbare servere, der er synlige på internettet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværket, kræver ingen godkendelse og ingen handling fra en bruger. Kompleksiteten i angrebet er lav, hvilket betyder, at det er relativt enkelt at udføre. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad, altså kan angriberen både læse, ændre og lukke ned for systemet. Der er ikke offentligt kendt bevis for, at sårbarheden allerede er udnyttet i praksis, men den lave kompleksitet og manglende krav om godkendelse gør den til et attraktivt mål.
Hvad gør jeg nu?
Følgende trin bør gennemføres i prioriteret rækkefølge:
- Opdatér AVideo til version 29.0 eller nyere, som lukker hullet i execAsync().
- Kan opdateringen ikke gennemføres med det samme, så deaktivér Live-pluginet eller bloker adgang til endpointet on_publish.php fra internettet.
- Gennemgå serverens logfiler for mistænkelige kommandoer eller uventede processer omkring on_publish.php.
- Skift adgangskoder og API-nøgler, der er gemt eller anvendt på serveren, hvis I finder tegn på uautoriseret adgang.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I finder spor af kompromittering, eller hvis I er i tvivl om, hvorvidt jeres opsætning er sårbar.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer AVideo til version 29.0 så hurtigt som muligt, især hvis serveren er tilgængelig fra internettet. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesuge, da sårbarheden kan udnyttes uden login og med lav teknisk kompleksitet. Bruger I ikke Live-pluginet, kan I midlertidigt deaktivere det som en hurtig risikoreduktion, mens opdateringen forberedes.
Tidslinje
Konkrete eksempler
Selvhostet undervisningsplatform hos en dansk kommune
En kommune bruger AVideo til at hoste undervisningsvideoer og livestreame kommunalbestyrelsesmøder. Serveren er tilgængelig fra internettet, så borgere kan se strømmen, og Live-pluginet er aktiveret. En angriber finder den sårbare on_publish.php-endpoint, indsætter en kommando via $() og opnår adgang til serveren. Herfra installerer angriberen skadelig kode og bruger serveren som adgangsvej til kommunens interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version af AVideo?
Tjek versionsnummeret i AVideo’s administrationspanel eller i konfigurationsfilerne på serveren. Alle versioner før 29.0 er sårbare over for CVE-2026-64625.
Er sårbarheden blevet udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet. Det ændrer ikke ved, at sårbarheden bør lukkes hurtigt, fordi den er let at udnytte og ikke kræver login.
Kan vi vente til vores næste planlagte opdateringsvindue?
Det anbefaler vi ikke. Sårbarheden kan udnyttes uden godkendelse og uden brugerinteraktion, så jo længere serveren er tilgængelig fra internettet uden opdatering, jo større er risikoen.
Vi bruger ikke Live-pluginet, er vi så i fare?
Selve sårbarheden ligger i Live-pluginets endpoint on_publish.php. Er pluginet deaktiveret eller ikke installeret, er den umiddelbare angrebsvej lukket, men vi anbefaler stadig at opdatere til 29.0, da fremtidige rettelser og funktioner bygger videre på denne version.
Skal vi anmelde hændelsen, hvis vi finder tegn på angreb?
Finder I tegn på, at sårbarheden er udnyttet, og at persondata er blevet tilgået eller lækket, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen til Datatilsynet inden for 72 timer. Vi anbefaler også at kontakte en ekstern sikkerhedsrådgiver til at afdække omfanget.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
AVideo before 29.0 contains an incomplete fix for CVE-2026-45578 where execAsync() re-wraps escaped commands in double-quoted sh -c, allowing command substitution via $() and backticks. Attackers can inject arbitrary OS commands through the Live plugin on_publish.php endpoint despite escapeshellarg() protection.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.