CVE-2026-73678: Kritisk fejl i MindsDB Minds Platform
Angribere uden login kan afvikle vilkårlig kode på servere med MindsDB Minds Platform. Isolér systemet og opdatér.
Hvad er det?
CVE-2026-73678 er en sårbarhed i MindsDB Minds Platform, version 26.1.0 og tidligere. Fejlen er kodeinjektion (CWE-94), en svaghed hvor et program kan narres til at køre kode, som en angriber selv har indsat. Uden at logge ind kan en angriber sende et udformet prompt, altså en tekstinstruktion til en AI-model, til endpunktet POST /api/v1/responses/. Prompten når frem til systemets AI-agent Anton og dennes interne værktøj kaldet scratchpad, som kører Python-kode uden nogen sikkerhedsbegrænsning. Angriberen kan først sætte sin egen API-nøgle til en sprogmodel via det ubeskyttede endpunkt PUT /api/v1/settings/, og derefter få agenten til at afvikle vilkårlige styresystemkommandoer med de rettigheder, som skrivebordsprogrammet kører med.
Hvem rammer det?
Sårbarheden rammer alle organisationer, der kører MindsDB Minds Platform i version 26.1.0 eller tidligere. Det gælder både virksomheder, der bruger platformen som lokal skrivebordsapplikation til at bygge AI-agenter, og dem der har eksponeret API’et mod internettet eller internt netværk uden yderligere adgangskontrol. Da funktionen kører med samme rettigheder som brugeren, der har startet programmet, er risikoen særligt høj, hvis programmet kører på en maskine med adgang til SSH-nøgler, gemte adgangskoder eller andre miljøvariable med hemmeligheder.
Hvad kan ske?
En angriber kan opnå fuld kontrol over den maskine, hvor MindsDB Minds Platform kører, uden at have gyldige loginoplysninger. Herfra kan angriberen læse SSH-nøgler og gemte adgangskoder, bevæge sig videre til andre systemer på netværket, installere afpresningssoftware eller stjæle data. For en dansk virksomhed betyder det, at en enkelt eksponeret AI-server kan blive indgangen til hele det interne netværk.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen login, ingen adgang til netværket ud over at kunne sende en HTTP-forespørgsel, og ingen handling fra en bruger. Det kan udføres over netværket (AV:N) med lav kompleksitet (AC:L), og konsekvensen er fuld fortrolighed, integritet og tilgængelighed i høj grad. Der er ikke i offentliggørelsen belæg for, at sårbarheden allerede udnyttes i praksis, men den tekniske beskrivelse er så detaljeret, at en fungerende udnyttelse kan udvikles hurtigt.
Hvad gør jeg nu?
Prioritér disse skridt, hvis I bruger MindsDB Minds Platform:
- Fjern eller blokér ekstern adgang til endpunkterne POST /api/v1/responses/ og PUT /api/v1/settings/, indtil en officiel opdatering foreligger.
- Kontrollér om jeres installation er tilgængelig fra internettet eller fra andre segmenter på netværket, og luk den adgang, hvis den ikke er nødvendig.
- Undersøg logs for uventede kald til de to endpunkter og for uventet oprettelse af API-nøgler i settings.
- Kør applikationen med den mindst mulige rettighed, og fjern adgang til SSH-nøgler og hemmeligheder fra den konto, der afvikler programmet.
- Følg leverandørens meddelelser for en sikkerhedsopdatering, og installér den, så snart den er tilgængelig.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om systemet er eksponeret eller allerede kompromitteret.
Isolér systemet inden for 24 timer
Vi anbefaler, at I straks fjerner ekstern og unødvendig intern adgang til de to nævnte endpunkter, uanset om en officiel opdatering findes. Det er ikke forsvarligt at vente til en fast opdateringsrunde, fordi angrebet kræver hverken login eller brugerhandling. Det er kun i orden at afvente, hvis systemet allerede er fuldstændig isoleret fra netværk og internet, og kun tilgængeligt for betroede lokale processer.
Tidslinje
Konkrete eksempler
Eksponeret AI-server hos en dansk produktionsvirksomhed
En produktionsvirksomhed har installeret MindsDB Minds Platform på en server for at bygge interne AI-agenter til rapportering. Serveren er ved en fejl tilgængelig fra internettet uden yderligere adgangskontrol. En angriber finder serveren, sætter sin egen API-nøgle via settings-endpunktet, og sender en prompt, der får agenten til at læse SSH-nøgler og oprette en bagdør. Herfra får angriberen adgang til virksomhedens øvrige servere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Tjek versionsnummeret på jeres MindsDB Minds Platform-installation. Er det 26.1.0 eller tidligere, er systemet omfattet. Se i applikationens indstillinger eller i den dokumentation, den blev installeret med.
Kan vi vente til en planlagt opdatering i næste uge?
Nej, ikke hvis systemet er tilgængeligt fra internettet eller fra andre netværkssegmenter. Sårbarheden kræver ingen login og ingen brugerhandling, så risikoen for udnyttelse er til stede, så længe endpunkterne er åbne.
Er vi ramt, hvis vi kun bruger MindsDB internt?
Ja, hvis andre systemer eller brugere på det interne netværk kan nå de to endpunkter POST /api/v1/responses/ og PUT /api/v1/settings/. Angrebet kræver blot netværksadgang, ikke internetadgang.
Hvad skal vi kigge efter i vores logs?
Kig efter uventede kald til PUT /api/v1/settings/, især hvor der oprettes eller ændres en API-nøgle til en sprogmodel, samt efterfølgende usædvanlige forespørgsler til POST /api/v1/responses/ med indhold, der ligner kode eller systemkommandoer.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er udnyttet, og persondata eller andre beskyttede oplysninger er blevet tilgået. Ren eksponering uden bevis for udnyttelse udløser normalt ikke en anmeldelsespligt, men bør stadig udbedres og dokumenteres.
Hvad koster det at ignorere denne sårbarhed?
En kompromitteret AI-server kan give en angriber adgang til SSH-nøgler og gemte adgangskoder, som kan bruges til at bevæge sig videre i netværket. I værste fald ender det med driftsstop, datatab eller afpresningssoftware, hvilket typisk er langt dyrere end at lukke adgangen nu.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MindsDB Minds Platform version 26.1.0 and earlier contains an unauthenticated remote code execution vulnerability that allows unauthenticated attackers to execute arbitrary OS commands by submitting crafted prompts to the unprotected POST /api/v1/responses/ endpoint, which reaches the Anton agent’s scratchpad tool that calls exec() on attacker-influenced Python source without sandboxing. Attackers can first configure their own LLM API key through the unauthenticated PUT /api/v1/settings/ endpoint, then POST a prompt directing the agent to invoke the scratchpad tool with arbitrary Python code, achieving full OS command execution as the user running the desktop application and enabling access to SSH keys, stored credentials, and environment secrets.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.