CVE-2026-73519: Kritisk fejl i WolfStack container-styring

CVE-2026-73519 er en sårbarhed i WolfStack, et styringsværktøj til Docker- og LXC-containere på servere. Fejlen skyldes en hårdkodet adgangskode, en hemmelig værdi som er skrevet direkte ind i programkoden i stedet for genereret pr. installation. Værdien ligger i filen src/auth/mod.rs og er ens i alle installationer af WolfStack før version 25.9.2. En angriber, der sender denne værdi i headeren X-WolfStack-Secret, kommer forbi login-kontrollen require_auth() uden session, API-nøgle eller brugerkonto. Herefter kan angriberen se alle containere på serveren og køre vilkårlige kommandoer som root, den mest privilegerede bruger, inde i dem via endepunktet POST /api/containers/{runtime}/{id}/exec.

Sårbarheden rammer alle installationer af WolfStack før version 25.9.2, der har administrationsporten tilgængelig på netværket. Det gælder virksomheder og kommuner, der bruger WolfStack til at styre Docker- eller LXC-containere på egne servere, i eget datacenter eller hos en hostingudbyder. Er administrationsporten nået fra internettet, kan hvem som helst udnytte fejlen. Er porten kun tilgængelig internt, er risikoen mindre, men stadig reel for medarbejdere, leverandører eller andre med adgang til netværket.

En angriber kan overtage alle containere på den ramte server og køre kommandoer som root inde i dem. I praksis betyder det, at angriberen kan læse og stjæle data fra applikationer og databaser i containerne, installere skadelig kode, kryptere systemer med løsesumkrav eller bruge serveren som springbræt til resten af netværket. Da adgangen sker uden login og uden at nogen medarbejder skal klikke på noget, kan angrebet ske uden synlige advarselstegn, før skaden er sket.

CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, kræver ikke at en bruger klikker på noget, og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuld: angriberen kan læse data, ændre data og forstyrre driften på det ramte system. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb pr. offentliggørelsesdatoen, men den er nem at udnytte, når den er kendt, og bør derfor behandles som en høj risiko.

Følgende handlinger lukker hullet og reducerer risikoen, mens I opdaterer:

1. Opdatér WolfStack til version 25.9.2 eller nyere på alle servere, hvor det er installeret. Dette fjerner den hårdkodede hemmelighed.
2. Kan opdatering ikke ske med det samme, så begræns adgangen til administrationsporten, så den kun kan nås fra betroede interne IP-adresser eller via VPN, virtuelt privat netværk.
3. Gennemgå logfiler for kald til X-WolfStack-Secret og til /api/containers/*/exec for at se, om fejlen allerede er udnyttet.
4. Efter opdatering, gennemgå alle containere for uautoriserede ændringer, nye brugere eller ukendte processer.
5. Roter andre hemmeligheder og adgangskoder, der har været tilgængelige på den ramte server, da de kan være kompromitteret.
6. Er I i tvivl om, hvorvidt jeres opsætning er ramt, eller om I allerede er blevet udnyttet, bør I hente ekstern hjælp til undersøgelse og oprydning.