CVE-2026-69102: Kritisk hul i MaxKey SSO-login
MaxKey har en hardcodet JWT-nøgle, der lader angribere forfalske login-tokens og logge ind som administrator uden kodeord.
Hvad er det?
MaxKey er en open source-løsning til single sign-on (SSO), som virksomheder bruger til at samle login til flere systemer ét sted. Sårbarheden CVE-2026-69102 skyldes en hardcodet signeringsnøgle i konfigurationsfilen application-maxkey.properties. Nøglen bruges til at signere JWT-tokens, som er digitale adgangsbeviser der fortæller systemet, hvem en bruger er. Fordi nøglen er den samme i alle installationer og offentligt kendt, kan en angriber selv oprette et gyldigt token og sende det til login-endpointet /sign/login/jwt/trust uden at kende et kodeord. Systemet godtager tokenet som ægte og giver angriberen en fuldt autentificeret session, herunder som administrator med adgang til SSO-konfiguration og hemmeligheder til tilknyttede applikationer.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger MaxKey som SSO-løsning til at styre login til deres systemer. Alle installationer, hvor den medfølgende standardnøgle i application-maxkey.properties ikke er ændret til en unik værdi, er sårbare, uanset version. Både administratorer og almindelige brugerkonti kan forfalskes, fordi angriberen selv vælger, hvem token’et skal udgive sig for at være.
Hvad kan ske?
En angriber kan logge ind som administrator i MaxKey uden kodeord og få adgang til hele SSO-opsætningen. Herfra kan de se og ændre konfiguration for alle tilknyttede applikationer og hente hemmeligheder, der giver adgang videre ind i økonomisystemer, mail, HR-systemer eller andre løsninger, der er koblet på SSO’en. I praksis kan et enkelt sårbart MaxKey-system give adgang til hele virksomhedens it-miljø, fordi SSO netop er designet til at samle adgang ét sted.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login, adgang til netværket internt eller nogen handling fra en bruger. Det kan udføres over internettet af en hvem som helst, der kender endpointet. Der er ikke oplyst kendt aktiv udnyttelse på offentliggørelsestidspunktet, men fordi standardnøglen er offentligt kendt og angrebet er trivielt at udføre, bør det behandles som om udnyttelse kan ske når som helst.
Hvad gør jeg nu?
Prioritér disse skridt for at lukke hullet og begrænse skaden, hvis nøglen allerede er misbrugt:
- Skift signeringsnøglen i application-maxkey.properties til en unik, tilfældigt genereret værdi og genstart MaxKey-tjenesten. Dette lukker selve hullet.
- Undersøg om leverandøren har udgivet en opdatering, der fjerner den hardcodede standardnøgle helt, og installér den.
- Gennemgå logfiler for kald til /sign/login/jwt/trust for at se, om endpointet allerede er blevet udnyttet.
- Roter alle hemmeligheder og adgangskoder til applikationer, der er tilknyttet MaxKey som SSO, da disse kan være kompromitteret.
- Begræns netværksadgang til MaxKey’s login- og administrationsendpoints, så de kun kan tilgås fra betroede net.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på misbrug, eller hvis I er usikre på, om jeres opsætning bruger standardnøglen.
Skift nøglen i dag
Vi anbefaler, at I skifter JWT-signeringsnøglen i application-maxkey.properties i dag, uanset om der findes en officiel opdatering. Det er den handling, der lukker sårbarheden, og den kan gennemføres uden at vente på leverandøren. Dette er ikke en opgave, der kan vente til weekenden, fordi angrebet kræver hverken login eller brugerinteraktion og kan udføres af en hvem som helst med kendskab til den offentligt kendte standardnøgle.
Tidslinje
Konkrete eksempler
SSO-system giver adgang til hele virksomhedens systemer
En dansk produktionsvirksomhed bruger MaxKey til at samle login til økonomisystem, mail og HR-portal. En angriber finder virksomhedens MaxKey-adresse via en søgning på internettet, forfalsker et admin-token med den kendte standardnøgle og logger ind som administrator. Herfra henter angriberen adgangsnøgler til de tilknyttede systemer og får adgang til både økonomidata og medarbejderoplysninger, uden at have brugt et eneste kodeord.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vores MaxKey-installation er sårbar?
Åbn filen application-maxkey.properties og se, om JWT-signeringsnøglen stadig er den værdi, der følger med installationen som standard. Er den ikke ændret manuelt til en unik værdi, er I sårbare.
Kan vi vente til weekenden med at rette dette?
Nej. Angrebet kræver ikke login eller brugerhandling og kan udføres over internettet, hvis MaxKey er tilgængeligt der. Skift nøglen så hurtigt som muligt.
Er vi ramt, hvis vi kun bruger MaxKey internt?
Risikoen er lavere, hvis MaxKey ikke er tilgængeligt fra internettet, men en angriber med adgang til jeres interne netværk, for eksempel via phishing eller en anden sårbarhed, kan stadig udnytte fejlen.
Kan vi se, om nogen allerede har udnyttet fejlen?
Gennemgå logfiler for kald til endpointet /sign/login/jwt/trust, især fra ukendte eller udenlandske IP-adresser, og se efter admin-sessioner oprettet uden forudgående kodeordslogin.
Skal vi anmelde dette til myndighederne?
Finder I tegn på, at nøglen er misbrugt og persondata eller kritiske systemer er tilgået, skal I vurdere anmeldepligt efter databeskyttelsesreglerne. Er der kun tale om en lukket sårbarhed uden tegn på misbrug, er der ikke i sig selv anmeldepligt.
Er det nok bare at skifte nøglen, eller skal vi opdatere systemet?
At skifte nøglen lukker det akutte hul, men vi anbefaler også at installere en officiel opdatering, hvis leverandøren udgiver en, der fjerner den hardcodede standardværdi permanent.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MaxKey contains an unauthorized access vulnerability due to a hard-coded JWT signing secret in application-maxkey.properties that allows unauthenticated attackers to forge valid JWT tokens and authenticate as any user by exploiting the password-skipped login endpoint. Attackers can craft a JWT token signed with the publicly known default secret, submit it to the /sign/login/jwt/trust endpoint, and obtain a fully authenticated admin session with access to SSO application configuration and downstream application secrets.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.