CVE-2026-80156: Kritisk fejl i Lantronix konsolservere
Kritisk sårbarhed i Lantronix konsolservere lader en logget-ind angriber skrive filer overalt på enheden og overtage den. Opdatér firmware nu.
Hvad er det?
Sårbarheden er en path traversal-fejl (CWE-22), hvor systemet ikke kontrollerer filstier korrekt, så en bruger kan skrive filer uden for den tiltænkte mappe. Fejlen findes i upload-funktionen i webadministrationen på Lantronix’ konsolservere. Filnavne renses for bagudrettede skråstreger, men systemet tjekker ikke efterfølgende for almindelige skråstreger, hvis der samtidig er en bagudrettet skråstreg i navnet. Ved at kombinere de to tegntyper kan en autentificeret angriber skrive vilkårlige filer til enhver skrivbar placering på enhedens filsystem. Det kan føre til fuld fjernudførelse af kode på enheden.
Hvem rammer det?
Sårbarheden rammer Lantronix SLC8000 med firmware ældre end version 9.7.0.5, EMG8500 og EMG7500 med firmware ældre end version 9.7.0.1, samt alle firmwareversioner af SLB882, SLCx-03 og SLCx-02. Enhederne bruges typisk som seriel-til-netværk konsolservere, der giver fjernadgang til netværksudstyr, industrielle styringer og andet serielt tilsluttet udstyr. I Danmark ses de blandt andet i produktionsvirksomheder, forsyningsselskaber og it-afdelinger, der bruger dem til out-of-band-adgang til servere og netværksudstyr.
Hvad kan ske?
En angriber, der allerede har et gyldigt login til webadministrationen, kan bruge fejlen til at overskrive systemfiler, plante skadelig kode eller ændre konfigurationen, så enheden bliver fuldt overtaget. Da konsolserveren ofte har adgang til andet udstyr via serielle forbindelser, kan en kompromitteret enhed bruges som springbræt til industrielle styringer, netværksudstyr eller servere, der normalt er isoleret fra det almindelige netværk. For en dansk virksomhed betyder det risiko for driftsstop, tab af følsomme konfigurationsdata og fodfæste dybere i infrastrukturen.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver netværksadgang, men ingen brugerhandling fra offeret, og kompleksiteten er lav. Til gengæld kræver det, at angriberen allerede har et login med høje rettigheder til webadministrationen (PR:H), hvilket begrænser hvem der kan udnytte fejlen direkte, men ikke gør den mindre alvorlig, hvis en sådan konto er kompromitteret eller misbrugt af en intern bruger. Konsekvensen er fuldt tab af fortrolighed, integritet og tilgængelighed på enheden. Der er ikke oplyst om aktiv udnyttelse i forbindelse med offentliggørelsen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér SLC8000 til firmware v9.7.0.5 eller nyere, og EMG8500/EMG7500 til firmware v9.7.0.1 eller nyere.
- For SLB882, SLCx-03 og SLCx-02, hvor der pr. offentliggørelsen ikke findes en rettet firmwareversion, skal I begrænse adgangen til webadministrationen til et separat administrationsnetværk eller VPN.
- Gennemgå alle konti med adgang til webadministrationen, og fjern eller nedgradér konti, der ikke har behov for høje rettigheder.
- Aktivér logning af upload-handlinger, og gennemgå logs for filnavne med kombinationer af almindelige og bagudrettede skråstreger.
- Segmentér konsolservere væk fra det øvrige produktionsnetværk, så en kompromitteret enhed ikke automatisk giver adgang til andet udstyr.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan verificere firmwareversion eller gennemføre segmentering inden for rimelig tid.
Opdatér firmware inden 14 dage
Vi anbefaler, at I opdaterer SLC8000 og EMG-serien til de rettede firmwareversioner hurtigst muligt, da sårbarheden giver fuld kontrol over enheden. For SLB882 og SLCx-modellerne, hvor der endnu ikke findes en rettelse, bør I isolere webadministrationen bag et administrationsnetværk eller VPN, indtil Lantronix udgiver en firmware-opdatering. Det er kun forsvarligt at vente, hvis enheden allerede er fuldt isoleret fra internettet og kun tilgængelig for et begrænset antal betroede administratorer.
Tidslinje
Konkrete eksempler
Produktionsvirksomhed med fjernadgang via Lantronix SLC8000
En dansk produktionsvirksomhed bruger en Lantronix SLC8000 til fjernadgang til styringer på fabriksgulvet. En tidligere it-medarbejders konto til webadministrationen er ikke blevet lukket ned korrekt. En angriber, der har fået fat i kontoens loginoplysninger, udnytter upload-fejlen til at skrive en fil uden for den tiltænkte mappe og opnår fjernudførelse af kode på enheden. Herfra får angriberen adgang til de serielt tilsluttede styringer og kan forstyrre produktionen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-80156?
I er ramt, hvis I har Lantronix SLC8000 med firmware ældre end v9.7.0.5, EMG8500/EMG7500 med firmware ældre end v9.7.0.1, eller SLB882, SLCx-03 eller SLCx-02 i enhver firmwareversion. Tjek enhedens webadministration for at se den aktuelle firmwareversion.
Hvordan tjekker vi, om vores enhed er sårbar?
Log ind på enhedens webadministration, og find firmwareversionen under systemoplysninger. Sammenhold versionen med de rettede versioner for jeres model, og opdatér hvis I er på en ældre version.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, om webadministrationen er tilgængelig fra internettet eller kun fra et internt administrationsnetværk. Er den internetvendt, bør I opdatere med det samme. Er adgangen allerede begrænset til betroede administratorer på et isoleret netværk, kan I planlægge opdateringen inden for kort tid.
Kræver angrebet, at nogen klikker på noget?
Nej, der kræves ingen brugerhandling fra offeret. Angriberen skal dog allerede have et gyldigt login med høje rettigheder til webadministrationen, før fejlen kan udnyttes.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og det har medført tab af personoplysninger eller alvorlig driftspåvirkning. Selve offentliggørelsen af sårbarheden udløser ikke i sig selv en anmeldelsespligt.
Hvad gør vi, hvis vi bruger SLB882 eller SLCx, hvor der ikke findes en rettelse?
Isolér webadministrationen bag et administrationsnetværk eller VPN, begræns antallet af konti med adgang, og overvåg logs tæt, indtil Lantronix udgiver en rettet firmwareversion til disse modeller.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Lantronix SLC8000 before firmware v9.7.0.5, EMG8500/EMG7500 before firmware v9.7.0.1, and all firmware versions of SLB882/SLCx-03/SLCx-02 contain a path traversal vulnerability in the web management portal upload endpoint that allows authenticated attackers to write arbitrary data to any location on the device’s filesystem, leading to remote code execution. The upload filename validation strips backslash characters but does not subsequently check for forward slashes when a backslash is detected; by supplying a filename containing both characters an attacker writes outside the intended upload directory to any writable path. Attackers can use this vulnerability to achieve complete loss of confidentiality, integrity, and availability on the affected device and potentially impact downstream serial-connected devices.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.