CVE-2026-67208: Kritisk fejl i Juggle giver root-adgang
Kritisk fejl i Juggle (CVE-2026-67208) giver uautoriserede angribere fuld systemadgang via H2-database-konsollen. Bloker adgangen nu.
Hvad er det?
CVE-2026-67208 er en sårbarhed i webapplikationen Juggle i alle versioner til og med 1.6.0. Sårbarheden findes i H2-konsollen, et administrationsværktøj til H2-databasen, som ligger tilgængeligt på adressen /h2-console uden beskyttelse. Konsollen bruger de standardadgangskoder, som følger med installationen, og som aldrig er blevet ændret. En angriber, der logger ind med disse standardoplysninger, kan bruge en kendt teknik i H2 kaldet CREATE ALIAS, der lader databasen udføre kommandoer direkte på styresystemet gennem funktionen Runtime.exec(). I den officielle Docker-udgivelse af Juggle kører databasen med root-rettigheder, hvilket betyder, at angriberen får fuld kontrol over serveren.
Hvem rammer det?
Sårbarheden rammer alle virksomheder, der kører Juggle i version 1.6.0 eller ældre, særligt installationer via det medfølgende Docker-image, hvor H2-konsollen typisk er slået til som standard. Det gælder både interne installationer og driftsmiljøer, hvor konsollen ved en fejl er eksponeret mod internettet uden firewall-regler eller adgangsbegrænsning.
Hvad kan ske?
En angriber kan uden brugernavn, adgangskode fra jer eller nogen form for interaktion fra en medarbejder opnå fuld kontrol over serveren med rettigheder som root. I praksis betyder det, at angriberen kan installere skadelig kode, kryptere data til afpresning, stjæle kundedata eller bruge serveren som springbræt ind i resten af netværket. Da adgangen sker direkte over netværket uden login, kan et angreb ske automatisk og i stor skala mod alle eksponerede installationer.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Kombinationen af manglende autentificering (CWE-306) og standardadgangskoder, der aldrig ændres (CWE-1188), gør sårbarheden meget nem at udnytte for en angriber med almindelig teknisk viden.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet hurtigst muligt:
- Bloker adgang til /h2-console fra internettet med det samme, enten via firewall, reverse proxy eller ved at slå konsollen fra i konfigurationen.
- Skift alle standardadgangskoder på H2-databasen til unikke, stærke koder.
- Undersøg om der findes en nyere version af Juggle end 1.6.0, og opgradér, hvis den findes.
- Gennemgå logfiler for uventede forbindelser til /h2-console eller mistænkelig systemaktivitet.
- Kontakt Auroa eller en anden sikkerhedspartner, hvis I ikke selv kan verificere, at konsollen er lukket, eller hvis I finder tegn på indbrud.
Bloker H2-console inden for 24 timer
Vi anbefaler, at I lukker adgangen til /h2-console fra internettet i dag og skifter standardadgangskoderne, uanset om der senere kommer en officiel opdatering. Det er ikke forsvarligt at vente, da angrebet kræver hverken login eller brugerhandling. Har I ikke selv styr på jeres Docker-konfiguration, bør I få en ekstern part til at verificere, at konsollen faktisk er utilgængelig fra internettet.
Tidslinje
Konkrete eksempler
Eksponeret Docker-installation hos en dansk virksomhed
En dansk mellemstor virksomhed sætter Juggle op via det medfølgende Docker-image til intern brug, men glemmer at afskærme /h2-console fra internettet. En angriber finder konsollen ved automatisk scanning, logger ind med standardadgangskoden og opretter en H2-alias, der giver kommandoudførelse med root-rettigheder. Herfra installerer angriberen afpresningssoftware, der lammer virksomhedens drift, indtil der betales en løsesum.
Ofte stillede spørgsmål
Hvordan ved vi, om vores Juggle-installation er ramt?
Prøv at tilgå adressen /h2-console fra en browser uden for jeres netværk. Kan I komme ind uden VPN eller intern adgang, og kan I logge ind med standardoplysninger, er I eksponerede.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden kræver ingen login og ingen brugerhandling, og angreb kan ske automatisk. Blokér adgangen til /h2-console i dag, opdateringen kan følge senere.
Er det nok bare at skifte adgangskoden på H2-konsollen?
Det reducerer risikoen betydeligt, men den mest sikre løsning er at fjerne konsollens adgang fra internettet helt, da den ikke bør være tilgængelig i et driftsmiljø.
Findes der en opdateret version af Juggle, der retter fejlen?
Det er ikke bekræftet i den offentlige beskrivelse. Vi anbefaler, at I holder øje med producentens meddelelser og opdaterer, så snart en rettet version foreligger, samtidig med at I lukker adgangen nu.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata eller andre beskyttede oplysninger er kompromitteret. I så fald skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Datatilsynet.
Rammer det også vores test- og udviklingsmiljøer?
Ja. Test- og udviklingsmiljøer, der kører Juggle via Docker-imaget, har typisk samme standardkonfiguration og er lige så udsatte som produktionsmiljøer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Juggle through 1.6.0 contains a remote code execution vulnerability that allows unauthenticated remote attackers to execute arbitrary OS commands by connecting to the exposed H2 database web console using default shipped credentials. Attackers can access the unprotected /h2-console endpoint, authenticate with default credentials, and leverage the H2 CREATE ALIAS Runtime.exec() technique to execute arbitrary commands, resulting in root-level code execution when running the stock Docker image.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.