CVE-2026-70558: Kritisk filskrivningsfejl i Dinky

CVE-2026-70558 er en sårbarhed i Dinky, en platform til realtidsdatabehandling bygget oven på Apache Flink. Funktionen til filupload tager en sti direkte fra en netværksforespørgsel og skriver filen på serveren uden at kontrollere, om stien er tilladt. Det kaldes en usikker filupload, hvor angribere kan placere vilkårlige filer hvor som helst i applikationens mappe. Den eneste beskyttelse er en header, der skal matche en nøgle kaldet dinkyToken. Problemet er, at standardværdien af denne nøgle ligger direkte i Dinkys kildekode og følger med i alle installationer, medmindre den ændres manuelt.

Sårbarheden rammer Dinky version 1.2.5 og udviklingsgrenen, hvor koden er identisk. Det gælder især installationer, der kører standard Docker-opsætningen, hvor port 8888 er åben uden firewall eller adgangskontrol foran, og hvor mappen /opt/dinky har fri skriverettighed for alle. Danske virksomheder og kommuner, der bruger Dinky til at styre dataflows mellem systemer, er berørt, hvis serveren er tilgængelig fra internettet eller fra et internt netværk, angribere allerede har adgang til.

En angriber, der kan nå Dinkys HTTP-port og kender den hardkodede standardnøgle, kan overskrive applikationens egne filer. I den dokumenterede demonstration blev forsiden erstattet med skadelig JavaScript, der ramte administratorers browsere med det samme. En anden fil blev overskrevet, så angriberens kode blev kørt automatisk, næste gang Dinky-tjenesten startede op, med samme rettigheder som selve tjenesten. Angriberen kan ikke skrive til systemfiler som /etc eller /root, men kan fuldstændig overtage selve Dinky-applikationen og alt, hvad den har adgang til.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Der findes offentligt en dokumenteret metode til at udnytte fejlen, herunder hvordan den hardkodede nøgle bruges til at skrive og køre kode. Der er ikke rapporteret aktiv udnyttelse i drift, men fordi metoden er kendt og enkel, er risikoen for hurtig udnyttelse høj, hvis serveren er tilgængelig udefra.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden:

1. Skift standardværdien af dinkyToken til en unik, hemmelig værdi i konfigurationen på alle installationer med det samme.
2. Sørg for, at Dinkys port 8888 ikke er tilgængelig direkte fra internettet, placér den bag en firewall eller en reverse proxy med autentifikation.
3. Ret filrettighederne på /opt/dinky, så den ikke længere er fuldt skrivbar for alle (chmod 777).
4. Gennemgå logfiler og filtidsstempler for uventede ændringer i /opt/dinky/config/static og org/dinky/Dinky.class.
5. Følg Dinkys projektside for en officiel rettelse, og opdater så snart en patchet version udgives.
6. Kontakt ekstern sikkerhedshjælp, hvis I finder tegn på ændrede filer, eller hvis I ikke selv kan verificere, om systemet har været udsat for angrebet.