CVE-2026-79787: Signaturfejl i Alluxios S3 REST proxy
Alluxios S3 REST proxy tjekker ikke AWS-signaturer korrekt. Angribere kan udgive sig for enhver bruger og læse, skrive eller slette data.
Hvad er det?
CVE-2026-79787 er en fejl i Alluxios S3 REST proxy, en komponent der lader systemer tilgå Alluxios datalag via samme grænsefladetype som Amazons S3-lagringstjeneste. Normalt underskriver klienter deres forespørgsler med AWS Signature Version 4, en metode der beviser, hvem afsenderen er. I standardopsætningen kontrollerer proxyen ikke denne underskrift. En angriber kan derfor læse brugernavnet ud af en uunderskrevet Authorization-header og optræde som den bruger, herunder tekniske servicekonti, uden at kende noget kodeord.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører Alluxio med S3 REST proxy-funktionen aktiveret i standardkonfigurationen, typisk som mellemlag mellem analyseplatforme og et objektlager. Er proxyen tilgængelig på et netværk, som en angriber kan nå, uden at signaturverifikation er slået til, er systemet sårbart uanset hvilken version af Alluxio der er installeret.
Hvad kan ske?
En angriber kan uden loginoplysninger udgive sig for en hvilken som helst bruger, inklusive administrative servicekonti, og derefter læse, ændre eller slette data i Alluxio-miljøet. For en dansk virksomhed betyder det risiko for tab af forretningskritiske data, læk af fortrolige oplysninger eller sletning af hele datasæt, som kan lamme analyser og rapportering, indtil data er genskabt fra sikkerhedskopi.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Fortrolighed, integritet og tilgængelighed er alle fuldt påvirket, fordi angriberen kan læse, ændre og slette data. Der er ikke oplyst om aktiv udnyttelse i angreb, men den lave angrebskompleksitet gør det realistisk, at fungerende angrebskode kan opstå hurtigt.
Hvad gør jeg nu?
Hvis I kører Alluxio med S3 REST proxy, bør I handle i denne rækkefølge:
- Slå signaturverifikation til for S3 REST proxyen, eller deaktivér proxyen helt, hvis den ikke er nødvendig for driften.
- Begræns netværksadgang til proxyen, så kun betroede systemer og IP-adresser kan nå den, for eksempel via firewall eller netværkssegmentering.
- Gennemgå adgangslogs for uunderskrevne eller mistænkelige Authorization-headere, som kan indikere forsøg på identitetsforfalskning.
- Opdatér til en version af Alluxio, hvor leverandøren har rettet standardopsætningen, når en sådan foreligger.
- Roter adgangsnøgler og servicekonti, der har været eksponeret via proxyen, som en ekstra sikkerhedsforanstaltning.
- Kontakt en it-sikkerhedspartner, hvis I ikke selv kan verificere, om signaturkontrollen er korrekt konfigureret, eller hvis I finder tegn på misbrug i logs.
Ret konfigurationen inden 24 timer
Vi anbefaler, at I straks kontrollerer, om jeres Alluxio-opsætning bruger S3 REST proxy, og om signaturverifikation er aktiveret. Er proxyen eksponeret uden korrekt kontrol, bør I lukke adgangen eller slå verifikation til, før I går videre med andet arbejde. Det er kun i orden at vente, hvis proxyen udelukkende er tilgængelig fra et fuldt isoleret internt netværk uden mulighed for uautoriseret adgang.
Tidslinje
Konkrete eksempler
Datalæk via eksponeret proxy hos en dansk analysevirksomhed
En dansk virksomhed bruger Alluxio som mellemlag mellem sine analyseværktøjer og et internt objektlager, og S3 REST proxyen er tilgængelig fra virksomhedens interne netværk uden signaturkontrol. En angriber, der har fået fodfæste på netværket via en anden sårbarhed eller phishing, opsnapper eller gætter et servicekontonavn, sender en uunderskrevet forespørgsel og får fuld læse- og skriveadgang til datalageret. Angriberen kan herefter eksportere fortrolige kundedata eller slette datasæt, før det opdages.
Ofte stillede spørgsmål
Hvordan ved vi, om vi er ramt?
Tjek om jeres Alluxio-installation har S3 REST proxy aktiveret, og undersøg konfigurationen for, om AWS Signature Version 4-verifikation er slået til. Er den ikke, er systemet sårbart.
Kan vi vente til weekenden med at rette det?
Kun hvis proxyen ikke kan nås fra internettet eller fra netværk uden for jeres kontrol. Er den tilgængelig for eksterne eller mindre betroede systemer, bør konfigurationen rettes samme dag.
Kræver angrebet, at angriberen har et brugernavn og kodeord?
Nej. Angriberen kan udtrække et gyldigt brugernavn direkte fra en uunderskrevet Authorization-header og bruge det til at udgive sig for brugeren uden kodeord.
Er der en officiel opdatering, vi kan installere?
NVD-data indeholder ikke oplysninger om en specifik patchet version. Indtil videre er den effektive løsning at aktivere signaturverifikation eller begrænse netværksadgang til proxyen.
Skal vi anmelde dette som en sikkerhedshændelse?
Hvis I finder tegn i logs på, at uautoriserede har tilgået eller ændret data via proxyen, bør det behandles som en sikkerhedshændelse og vurderes i forhold til jeres oplysningspligt, herunder eventuel underretning til Datatilsynet.
Påvirker fejlen alle brugere, eller kun administratorer?
Fejlen påvirker alle brugerkonti, herunder tekniske servicekonti, fordi angriberen kan udgive sig for enhver bruger, hvis brugernavn kan udtrækkes fra en forespørgsel.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Alluxio’s S3 REST proxy fails to verify AWS Signature Version 4 signatures in its default configuration, allowing unauthenticated attackers to spoof user identity. Attackers can extract usernames from unsigned Authorization headers and impersonate any user, including service accounts, to read, write, and delete arbitrary data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.