CVE-2026-74899: Sandkasseudbrud i openssl_encrypt

openssl_encrypt er et Python-bibliotek, som mange systemer bruger til at kryptere data og til at køre tilføjelser (plugins) i en afgrænset udførelsesmiljø, kaldet en sandkasse. Sandkassen skal forhindre, at et plugin får adgang til resten af serveren. I versioner før 1.4.0 er komponenten IsolatedPluginExecutor fejlkonfigureret, så Python-programmets interne typeobjekter er tilgængelige inde i den afgrænsede kode. Det betyder, at en angriber kan bruge en kendt Python-teknik, hvor man går gennem klassehierarkiet med kommandoen __class__.__mro__.__subclasses__(), til at finde og aktivere systemfunktioner, som sandkassen ellers skulle blokere. Fejlen er registreret som CWE-95, som betyder utilstrækkelig kontrol af kode, der udføres dynamisk i programmet (eval injection). Resultatet er, at angriberen kan afvikle vilkårlige styresystemskommandoer på den server, hvor biblioteket kører.

Det rammer virksomheder og organisationer, der bruger Python-biblioteket openssl_encrypt i version før 1.4.0, og som benytter funktionen IsolatedPluginExecutor til at køre plugins, scripts eller anden brugerleveret kode i en afgrænset kontekst. Det kan for eksempel være interne værktøjer til dokumenthåndtering, krypteringstjenester eller integrationsplatforme, hvor tredjepartskode eller kundeleveret data behandles automatisk. Alle systemer, hvor biblioteket er inkluderet, uanset om plugin-funktionen aktivt bruges af jeres organisation, bør tjekkes.

En angriber, der kan sende input til den sårbare komponent, kan bryde ud af sandkassen og få de samme rettigheder som den proces, biblioteket kører under. I praksis betyder det, at angriberen kan læse og ændre filer, installere bagdøre, stjæle data eller bruge serveren som springbræt til resten af netværket. For en dansk virksomhed kan det føre til datalæk, driftsstop og i værste fald ransomware, hvis serveren har adgang til andre systemer.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode eller brugerkonto (PR:N), ingen handling fra en bruger (UI:N), og kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke fundet dokumentation for, at sårbarheden aktivt udnyttes i angreb, men teknikken bag angrebet er en velkendt metode til at bryde Python-sandkasser, hvilket gør det sandsynligt, at et angreb kan udvikles hurtigt.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér openssl_encrypt til version 1.4.0 eller nyere på alle systemer, hvor biblioteket er installeret.
2. Find ud af, om jeres systemer bruger funktionen IsolatedPluginExecutor til at køre plugins eller anden ekstern kode, og prioritér disse systemer først.
3. Gennemgå logfiler for usædvanlig aktivitet, herunder uventede systemkommandoer eller processer startet af biblioteket.
4. Begræns netværksadgang til de sårbare systemer, indtil opdateringen er gennemført, for eksempel med firewallregler eller adgangskontrol.
5. Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv kan verificere, om openssl_encrypt indgår i jeres systemer, eller hvis opdateringen kræver kodeændringer.