CVE-2026-65700: Kritisk sti-traversal i h2oGPT
h2oGPT frem til version 0.2.1 har en kritisk sti-traversal fejl, der uden login lader angribere læse, skrive og slette filer på serveren.
Hvad er det?
Sårbarheden findes i h2oGPT, en open source platform til at køre og teste AI-sprogmodeller. Fejlen (CVE-2026-65700) ligger i den del af systemet, der efterligner OpenAI’s API til fildeling. Programmet bruger en bruger-nøgle (bearer token) direkte som del af en filsti uden at rense den for specialtegn. Det kaldes sti-traversal (CWE-22): ved at indsætte tegn som “../” i nøglen kan en angriber bevæge sig ud af den mappe, systemet forventer, og nå andre steder på serveren. Fordi standard-nøglen i h2oGPT er tom (EMPTY), kræver angrebet ikke login.
Hvem rammer det?
Alle virksomheder og organisationer, der kører h2oGPT version 0.2.1 eller ældre, og har den OpenAI-kompatible fil-API tilgængelig fra internettet eller internt netværk. Det gælder særligt virksomheder, der har sat h2oGPT op til intern brug af AI-chatbots eller sprogmodeller, uden at ændre standardopsætningen for API-nøgler.
Hvad kan ske?
En angriber kan uden at logge ind læse, skrive og slette filer, som serverprocessen har adgang til. Ved at skrive til opstartsscripts eller filer, som programmet indlæser automatisk, kan angriberen få fjernudførelse af kode på serveren. I praksis betyder det, at angriberen kan overtage serveren fuldstændigt, stjæle data, installere skadelig kode eller bruge serveren som springbræt ind i resten af virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen handling fra en bruger, og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. NVD-data indeholder ingen oplysninger om, at sårbarheden allerede udnyttes aktivt, men den detaljerede tekniske beskrivelse gør det relativt enkelt at udvikle et angreb.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Sæt en stærk, unik API-nøgle for h2oGPT’s OpenAI-kompatible fil-API, så standardværdien EMPTY ikke længere tillader adgang uden login.
- Begræns netværksadgang til fil-API’et, så det kun kan nås fra betroede interne systemer, ikke fra internettet.
- Undersøg om der findes en nyere version af h2oGPT end 0.2.1, der retter sårbarheden, og opgradér hvis muligt.
- Gennemgå serverens logfiler for tegn på uautoriseret filadgang, især forespørgsler med “../” i bearer-token-feltet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at opsætningen er sikret, eller hvis I finder tegn på misbrug.
Luk adgangen inden for 24 timer
Vi anbefaler at lukke adgangen til fil-API’et og sætte en stærk nøgle i dag, uanset om der findes en officiel opdatering fra h2oGPT. Det er kun forsvarligt at vente, hvis systemet allerede er isoleret fra internettet og kun tilgængeligt for et lille antal betroede interne IP-adresser.
Tidslinje
Konkrete eksempler
Intern AI-chatbot bliver indgang til serveren
En dansk produktionsvirksomhed har sat h2oGPT op internt, så medarbejdere kan stille spørgsmål til en AI-model om tekniske manualer. IT-afdelingen har ikke ændret standard API-nøglen, fordi systemet kun bruges internt. En medarbejders bærbare bliver inficeret med malware, der scanner netværket og finder h2oGPT-serveren. Angriberen udnytter sårbarheden til at skrive en skadelig fil til serverens opstartsscript og får dermed fuld kontrol over serveren, som også har adgang til virksomhedens filserver.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis I kører h2oGPT version 0.2.1 eller ældre med den OpenAI-kompatible fil-API aktiveret, er I ramt, hvis I ikke har ændret standard API-nøglen fra den tomme værdi.
Hvordan tjekker vi, om vi er berørt?
Undersøg om h2oGPT er installeret i jeres miljø, og om API-nøglen stadig er sat til standardværdien EMPTY. Gennemgå også, om fil-API’et er tilgængeligt fra internettet eller kun internt.
Kan vi vente til weekenden med at lukke hullet?
Nej. Angrebet kræver ikke login og kan udføres af enhver, der kan nå API’et over netværket. Vi anbefaler at lukke adgangen samme dag, sårbarheden opdages.
Skal vi anmelde dette til myndighederne?
Hvis I opdager, at sårbarheden er blevet udnyttet, og persondata er kompromitteret, kan I være forpligtet til at anmelde det til Datatilsynet efter GDPR-reglerne.
Er der en officiel opdatering til h2oGPT?
NVD-data indeholder ikke oplysninger om en rettet version på offentliggørelsestidspunktet. Vi anbefaler at kontrollere h2oGPT’s officielle kanaler for en kommende sikkerhedsopdatering.
Vi bruger en tredjepartsleverandør til vores AI-løsning, hvad gør vi?
Kontakt leverandøren og bed om bekræftelse på, at deres opsætning af h2oGPT er sikret mod denne sårbarhed, herunder at standard API-nøglen er ændret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
h2oGPT through 0.2.1 contains a path traversal vulnerability in the OpenAI-compatible files API that allows unauthenticated remote attackers to read, write, and delete arbitrary files accessible to the server process by supplying traversal sequences in the bearer token. The get_user_dir function in openai_server/backend_utils.py uses the bearer token string unsanitized as a path component via os.path.join, and because the default API key is EMPTY authentication is bypassed, enabling attackers to traverse outside the intended user directory through the file content, delete, and upload endpoints to achieve remote code execution by writing to startup hooks or application-loaded files.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.