CVE-2026-67340: Kritisk fejl i ArcadeDB
Sårbarhed i ArcadeDB lader brugere med skema-rettigheder køre systemkommandoer via trigger-scripts. Opdatér til 26.7.2.
Hvad er det?
CVE-2026-67340 er en sårbarhed i databasesystemet ArcadeDB, der bruges til at gemme og forbinde data i grafer og dokumenter. Fejlen ligger i trigger-scripts, kode der automatisk køres, når data ændres i databasen. ArcadeDB tillader ved en fejl, at disse scripts kan tilgå Javas indbyggede klasser, herunder funktioner der kan starte programmer på serveren. En bruger med rettigheden UPDATE_SCHEMA, som giver adgang til at ændre databasens skema, kan derfor oprette et trigger-script, der kører kommandoer direkte på operativsystemet, når trigger’en aktiveres.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger ArcadeDB (arcadedb-engine) i version før 26.7.2. Det gælder både selvhostede installationer og applikationer, hvor ArcadeDB er indlejret som databasemotor. Risikoen er størst, hvor flere brugere, for eksempel udviklere eller integrationer, har fået tildelt rettigheden til at ændre databasens skema.
Hvad kan ske?
En bruger med skema-rettigheder kan oprette en trigger, der kører kommandoer på den server, hvor ArcadeDB er installeret. I praksis betyder det, at angriberen kan læse eller ændre alle data i databasen, oprette nye administratorkonti eller installere yderligere programmer og bruge serveren som springbræt videre ind i netværket. For en dansk virksomhed kan konsekvensen være tab af kundedata, driftsstop og spredning til andre systemer på samme server.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver ingen handling fra andre brugere, men det forudsætter, at angriberen allerede har en gyldig konto med rettigheden UPDATE_SCHEMA i ArcadeDB. Det er derfor ikke en fejl, en anonym angriber uden adgang kan udnytte direkte, men enhver konto med denne rettighed, herunder konti med lav tillid eller kompromitterede udviklerkonti, kan give fuld kontrol over serveren. Der er ikke offentliggjort tilfælde af aktiv udnyttelse på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér ArcadeDB til version 26.7.2 eller nyere, hvor adgangen til java.lang-klasser i trigger-scripts er fjernet.
- Gennemgå hvilke brugere der har rettigheden UPDATE_SCHEMA, og fjern den fra konti, der ikke aktivt har brug for den.
- Gennemse eksisterende triggers i databasen for uventet eller ukendt kode, særligt kald til Java.type eller Runtime.
- Begræns netværksadgang til ArcadeDB, så kun betroede systemer og administratorer kan nå administrationsgrænsefladen.
- Log og overvåg oprettelse og ændring af triggers, så misbrug kan opdages fremover.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om triggers eller skema-rettigheder er blevet misbrugt.
Opdatér inden næste driftsvindue
Vi anbefaler, at I opdaterer ArcadeDB til version 26.7.2 så hurtigt som praktisk muligt, da fejlen giver mulighed for fuld systemkompromittering for brugere med skema-rettigheder. Det er acceptabelt at vente til næste planlagte driftsvindue, hvis I i mellemtiden har begrænset UPDATE_SCHEMA-rettigheden til et minimum af betroede konti. Har I ikke overblik over, hvem der har denne rettighed, bør I skaffe det overblik, før I beslutter at vente.
Tidslinje
Konkrete eksempler
Udviklerkonto misbruges til at overtage databaseserver
En dansk virksomhed lader eksterne udviklere have adgang til at ændre skema i deres ArcadeDB-installation som del af et integrationsprojekt. En af udviklerkonti bliver kompromitteret gennem en anden lækket adgangskode. Angriberen bruger kontoen til at oprette en trigger, der kører systemkommandoer, og får dermed fuld kontrol over serveren og adgang til alle data i databasen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører ArcadeDB (arcadedb-engine) i en version ældre end 26.7.2. Tjek versionsnummeret i jeres installation eller hos den, der har opsat databasen.
Hvordan tjekker vi, om vores installation er sårbar?
Slå versionsnummeret op i ArcadeDB, og sammenlign med 26.7.2. Er versionen lavere, er installationen sårbar, uanset hvor mange brugere den har.
Kan vi vente med at opdatere til weekenden?
Det kan I, hvis I i mellemtiden har begrænset rettigheden UPDATE_SCHEMA til et minimum af betroede konti og har overblik over eksisterende triggers. Har I bred adgang til skema-ændringer, bør I opdatere hurtigere.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I har konkret bevis for, at sårbarheden er blevet udnyttet og har medført adgang til personoplysninger. Ellers er der ikke i sig selv anmeldelsespligt af sårbarheden alene.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ikke brugerinteraktion fra en tredjepart, men det kræver, at angriberen har en gyldig konto med rettigheden UPDATE_SCHEMA i ArcadeDB.
Hvad hvis vi ikke selv styrer rettighederne til skema-ændringer?
Kontakt den leverandør eller udvikler, der har opsat jeres ArcadeDB-installation, og bed om en gennemgang af, hvem der har UPDATE_SCHEMA-rettigheden, samt en opdatering til 26.7.2.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
ArcadeDB before 26.7.2 (arcadedb-engine) allows trigger scripts to look up host classes in java.lang.* (via Java.type) because ScriptTriggerExecutor adds java.lang.* to the allowed packages. An authenticated user with UPDATE_SCHEMA permission can create a JavaScript trigger that invokes java.lang.Runtime.getRuntime().exec() (or ProcessBuilder), achieving OS command execution when the trigger fires.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.