CVE-2026-77915: Login-fejl i rConfig giver adminadgang
Kritisk fejl i rConfig (CVE-2026-77915) lader alle oprette en administratorkonto uden login. Opdatér til version 8.2.13.
Hvad er det?
rConfig er et open source-værktøj til at administrere konfigurationer på netværksudstyr som routere og switches. CVE-2026-77915 er en fejl i login-håndteringen, hvor en dobbelt registrering af login-ruter i koden routes/web.php uforvarende genaktiverer en oprettelsesside, som ellers var deaktiveret. Fejlen betyder, at hvem som helst uden login kan oprette en ny bruger, der automatisk får administratorrettigheder, fordi systemet som standard sætter nye brugere til rollen Admin. CWE-306 beskriver, at en kritisk funktion mangler autentificering, og CWE-1188 beskriver, at systemet starter op med en usikker standardindstilling. Sammen giver de to fejl en direkte vej fra internettet til fuld administratoradgang.
Hvem rammer det?
Sårbarheden rammer alle, der kører rConfig version 8.0.0 til og med 8.2.12. Det gælder typisk it-afdelinger, hostingfirmaer og MSP’er, altså leverandører der drifter it for andre virksomheder, som bruger rConfig til at gemme og styre konfigurationer for routere, switches og firewalls. Er registreringssiden tilgængelig fra internettet, kan angrebet udføres uden nogen form for adgang på forhånd.
Hvad kan ske?
En angriber kan oprette en administratorkonto på få sekunder og få adgang til alle gemte enhedsoplysninger, herunder login og adgangskoder til netværksudstyr. Med den adgang kan angriberen omkonfigurere routere og switches, aflæse eller udstede nye API-tokens og bruge oplysningerne til at bevæge sig videre ind i virksomhedens netværk. I praksis kan et enkelt hul i rConfig give kontrol over hele netværksinfrastrukturen.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste kategori, kritisk. Angrebet kræver ingen adgangskode, intet login og ingen handling fra en bruger, og det kan udføres over netværket, altså direkte fra internettet, hvis systemet er eksponeret. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men fordi angrebet er enkelt at gennemføre og giver fuld administratoradgang, bør det behandles som en høj risiko, uanset om der findes offentligt tilgængelig kode til at udnytte fejlen.
Hvad gør jeg nu?
Første skridt lukker hullet, resten begrænser skaden, hvis det allerede er sket.
- Opdatér rConfig til version 8.2.13 eller nyere, hvor den duplikerede login-rute er fjernet.
- Gennemgå brugerlisten i rConfig for konti, I ikke selv har oprettet, og slet dem.
- Skift adgangskoder og API-tokens for alle netværksenheder, der er gemt i rConfig, hvis I ikke kan udelukke, at systemet har været eksponeret.
- Begræns adgangen til rConfig’s webgrænseflade, så den ikke er tilgængelig direkte fra internettet, men kun via VPN eller internt netværk.
- Gennemgå logfiler for uventede kontooprettelser eller login i perioden, hvor sårbarheden var kendt.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I ikke selv kan verificere, at opdateringen er gennemført korrekt.
Opdatér til rConfig 8.2.13 nu
Vi anbefaler, at I opdaterer til rConfig 8.2.13 så hurtigt som muligt, da sårbarheden er kritisk og ikke kræver nogen adgang for at blive udnyttet. Er rConfig kun tilgængeligt internt og uden adgang fra internettet, kan I vente til jeres næste planlagte vedligeholdelsesvindue, men vi anbefaler stadig at gennemgå brugerlisten for uventede konti allerede nu. Er systemet eksponeret mod internettet, bør opdateringen prioriteres samme dag, I læser dette.
Tidslinje
Konkrete eksempler
Netværksleverandør med eksponeret rConfig
En dansk it-leverandør bruger rConfig til at gemme konfigurationer og adgangskoder for kunders routere og switches. Webgrænsefladen er ved en fejl tilgængelig fra internettet. En angriber opretter en administratorkonto uden login, henter alle gemte enhedsoplysninger og får dermed fjernadgang til flere kunders netværksudstyr.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vi er ramt?
Se efter, hvilken version af rConfig I kører. Er den 8.0.0 eller nyere, men lavere end 8.2.13, er I sårbare. Gennemgå desuden brugerlisten i systemet for administratorkonti, I ikke kan genkende.
Kan vi vente til næste vedligeholdelsesvindue?
Kun hvis rConfig ikke er tilgængeligt fra internettet og kun kan nås fra jeres interne netværk. Er systemet eksponeret udadtil, bør opdateringen prioriteres samme dag.
Er der tegn på, at fejlen bliver udnyttet aktivt?
Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen. Det ændrer dog ikke ved, at angrebet er enkelt at udføre og giver fuld administratoradgang, så det bør stadig lukkes hurtigt.
Hvordan opdaterer vi rConfig?
Hent den seneste udgivelse af rConfig, version 8.2.13 eller nyere, fra den officielle kildekode og installer den efter producentens vejledning. Test opdateringen i et testmiljø, hvis I har mulighed for det, inden den rulles ud i produktion.
Hvad gør vi, hvis vi finder en uautoriseret administratorkonto?
Slet kontoen, skift alle adgangskoder og API-tokens, der var tilgængelige for den, og gennemgå logfiler for at klarlægge, hvilke oplysninger kontoen har haft adgang til. Overvej at kontakte en sikkerhedsrådgiver til at hjælpe med undersøgelsen.
Skal vi anmelde det til myndighederne?
Har uautoriserede fået adgang til personoplysninger via systemet, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Vurder sagen konkret, eller søg juridisk rådgivning, hvis I finder tegn på et sikkerhedsbrud.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
rConfig 8.0.0 before 8.2.13 contains an authentication bypass vulnerability that allows unauthenticated attackers to self-register accounts with full Administrator privileges due to a duplicate bare Auth::routes() call in routes/web.php that re-enables the POST /register route after it was explicitly disabled. Attackers can register a new account that is immediately authenticated with Admin-level access because the registration controller does not assign a role and the users.role column defaults to Admin, enabling access to stored device credentials, user data, and API token issuance.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.