CVE-2026-67342: Kritisk adgangsfejl i ArcadeDB

CVE-2026-67342 er en sårbarhed i databasesystemet ArcadeDB, hvor visse HTTP-endepunkter, altså adgangspunkter systemet lytter på over nettet, ikke tjekker om den, der spørger, faktisk har adgang til den database, der spørges om. Fejlen sidder i endepunkter til tidsserier, batch-operationer, Prometheus og Grafana, som typisk bruges til overvågning og masseindlæsning af data. Ved at angive et andet database-navn i kaldet kan en angriber tilgå og ændre data i databaser, de ikke er godkendt til at bruge, uden at logge ind først.

Sårbarheden rammer alle, der kører ArcadeDB i en version før 26.7.2, hvor HTTP-grænsefladen er tilgængelig, enten internt i netværket eller eksponeret mod internettet. Det gælder virksomheder og kommuner, der bruger ArcadeDB som graf- eller dokumentdatabase, samt systemer der sender målinger til overvågningsværktøjer som Prometheus eller Grafana via ArcadeDB.

En angriber, der kan nå ArcadeDB’s HTTP-port, kan læse, ændre eller slette data i databaser, de ikke har rettigheder til, helt uden at logge ind. I praksis kan det betyde tyveri af kundedata, manipulation af forretningskritiske registre eller sletning af data, der bruges til drift og rapportering. Da angrebet hverken kræver login eller brugerhandling, kan det automatiseres og udføres i stor skala mod flere databaser samtidig.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen brugerhandling, og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed, det vil sige, at angriberen kan læse, ændre og forstyrre data i berørte databaser. Der er ikke kendte tegn på udnyttelse i praksis på offentliggørelsestidspunktet, men den lave adgangsbarriere gør sårbarheden attraktiv for automatiserede angreb.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér ArcadeDB til version 26.7.2 eller nyere, hvor adgangskontrollen på de berørte endepunkter er rettet.
2. Kan I ikke opdatere med det samme, så begræns adgangen til ArcadeDB’s HTTP-port via firewall, så kun betroede systemer og administratorer kan nå den.
3. Gennemgå logs for HTTP-kald til tidsserie-, batch-, Prometheus- og Grafana-endepunkterne for at se, om der er tilgået databaser, der ikke burde være tilgængelige.
4. Skift adgangskoder og API-nøgler for databaser, der har været eksponeret, hvis I finder tegn på uautoriseret adgang.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres opsætning er ramt, eller hvis I finder spor af misbrug.