CVE-2026-72842: Kritisk root-sårbarhed i luci-app-lxc

CVE-2026-72842 er en sårbarhed i luci-app-lxc, som er den del af webgrænsefladen LuCI på OpenWrt-firmware, der bruges til at administrere Linux-containere (LXC). Fejlen skyldes en fejl i adgangskontrollen (ACL), hvor en bruger med lave rettigheder kan udnytte en såkaldt path traversal, hvor man manipulerer en filsti til at komme uden for det tilladte område. Ved at indsætte tegnkombinationen /.%2E i parameteren lxc_name kan man bryde ud af containerens egen mappe og styre de scripts, som køres på værtsmaskinen via funktionen lxc.hook.start-host. Resultatet er, at en almindelig, lavprivilegeret bruger kan opnå fuld administratoradgang (root) på selve OpenWrt-enheden, ikke bare på containeren.

Sårbarheden rammer OpenWrt-baserede enheder, hvor pakken luci-app-lxc er installeret, og hvor LXC-containerstyring er aktiveret via webgrænsefladen. Det gælder typisk routere, firewalls og netværksudstyr, som mindre danske virksomheder, kommunale institutioner eller it-afdelinger selv har opsat med OpenWrt, samt udstyr fra leverandører, der bygger videre på OpenWrt. Rammer især enheder, hvor flere personer har fået oprettet en LuCI-brugerkonto med begrænsede rettigheder, for eksempel en junior-tekniker eller en ekstern samarbejdspartner.

En medarbejder eller ekstern part med en almindelig, begrænset LuCI-konto kan udnytte fejlen til at overtage hele enheden med fuld administratoradgang. Herfra kan angriberen aflytte og omdirigere netværkstrafik, oprette bagdøre, deaktivere firewall-regler og bruge enheden som springbræt videre ind i virksomhedens interne netværk. Da enheden ofte sidder centralt i netværket, kan konsekvensen række langt ud over selve routeren eller firewallen.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver, at man allerede har en gyldig, lavprivilegeret konto på enheden, men kræver ingen brugerinteraktion fra andre og kan udføres over netværket med lav teknisk kompleksitet. Fordi angrebet ændrer omfang (scope changed), rammer det ikke kun containermiljøet, men hele værtsenheden med fuld kontrol over fortrolighed, integritet og tilgængelighed. Der er ved offentliggørelsen ikke rapporteret aktiv udnyttelse i praksis, men den tekniske beskrivelse af angrebsmetoden er offentligt tilgængelig, hvilket gør det forholdsvis let at genskabe angrebet.

Følgende skridt lukker hullet og begrænser skaden, mens I venter på en officiel rettelse.

1. Opdatér luci-app-lxc til en rettet version, så snart leverandøren eller OpenWrt-projektet udsender den. Er der ingen rettelse tilgængelig endnu, så fjern eller deaktiver luci-app-lxc helt på enheden.
2. Begræns adgangen til LuCI-administrationsgrænsefladen, så den kun kan tilgås fra et betroet administrationsnetværk eller via VPN, ikke fra internettet eller det almindelige interne net.
3. Gennemgå alle LuCI-brugerkonti, og fjern eller reducér rettighederne for konti, der ikke har brug for containerstyring.
4. Tjek log-filerne for mistænkelige forespørgsler, der indeholder /.%2E i lxc_name-parameteren, som tegn på forsøg på udnyttelse.
5. Er enheden eksponeret direkte mod internettet, bør den tages ned eller isoleres, indtil rettelsen er på plads.
6. Er I i tvivl om, hvordan I lukker adgangen sikkert, eller om jeres opsætning er ramt, bør I hente hjælp fra en it-sikkerhedsrådgiver.