CVE-2026-82266: Redpanda Admin API uden login
Redpandas administrations-API mangler login som standard og giver angribere fuld kontrol over klyngen. Aktivér autentificering nu.
Hvad er det?
Redpanda er en streaming-platform, der bruges til at sende og behandle store mængder data i realtid, kompatibel med Apache Kafka. CVE-2026-82266 findes i Redpandas administrations-API, der som standard lytter på port 9644 uden krav om login. Indstillingen admin_api_require_auth er sat til falsk som standard, hvilket betyder, at systemet behandler alle uautentificerede forespørgsler, som om de kom fra en superbruger med fuld adgang. Fejlen findes i alle udgaver af Redpanda op til og med version 26.2.2.
Hvem rammer det?
Det rammer virksomheder og kommuner, der selv drifter Redpanda-klynger til dataintegration, logbehandling eller hændelsesstyrede systemer, og hvor Admin API’et på port 9644 kan nås fra netværket, uanset om det er internt eller eksponeret mod internettet. Berørt er alle installationer op til version 26.2.2, hvor admin_api_require_auth ikke aktivt er sat til sand.
Hvad kan ske?
En angriber, der kan nå port 9644, kan uden legitimationsoplysninger oprette og slette brugerkonti på klyngen, ændre klyngens konfiguration og forstyrre den måde, data replikeres mellem partitioner. I praksis kan det stoppe dataflow, ødelægge data eller give angriberen permanent kontrol over infrastrukturen, hvilket for en dansk virksomhed kan betyde nedetid på kritiske systemer og tab af data, der ikke kan genskabes.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen særlige rettigheder og ingen handling fra en bruger, det kan udføres direkte over netværket mod port 9644. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men fordi standardkonfigurationen er usikker, kræver det ingen særlig teknisk indsigt at udnytte, hvis porten er tilgængelig.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Sæt admin_api_require_auth til sand i klyngens konfiguration og genstart alle broker-noder, så Admin API’et kræver login.
- Bloker port 9644 med firewall, så den kun kan nås fra betroede administrationssystemer, indtil autentificering er bekræftet aktiv.
- Opdater til den nyeste Redpanda-udgave, når leverandøren udgiver en version, der ændrer standardværdien til sand.
- Gennemgå adgangslogs for Admin API’et for uventede kald, kontooprettelser eller konfigurationsændringer i perioden, hvor sårbarheden var ukendt.
- Udskift legitimationsoplysninger for alle superbrugere, hvis logs viser tegn på uautoriseret adgang.
- Kontakt Auroa eller en anden sikkerhedsspecialist, hvis I ikke selv kan verificere konfigurationen, eller hvis I finder tegn på misbrug.
Ret konfigurationen inden for 24 timer
Vi anbefaler, at I straks tjekker, om admin_api_require_auth er sat til sand på alle Redpanda-klynger, og at I lukker port 9644 for netværk, der ikke skal have adgang. Det er ikke i orden at vente, hvis klyngen er tilgængelig fra internt netværk med mange brugere eller fra internettet, da angrebet ikke kræver login. Er klyngen isoleret på et fuldt lukket administrationsnetværk med kun betroede maskiner, kan I vente til næste planlagte vedligeholdelsesvindue, men bør stadig rette konfigurationen der.
Tidslinje
Konkrete eksempler
Datatab hos en dansk produktionsvirksomhed
En dansk produktionsvirksomhed bruger Redpanda til at samle sensordata fra produktionslinjen i realtid. En medarbejder på gæstenetværket, eller en angriber, der har fået fodfæste i netværket, finder Admin API’et åbent på port 9644 uden login. Vedkommende sletter brokerkonti og ændrer klyngekonfigurationen, hvilket stopper dataflowet fra produktionslinjen og kræver manuel genopbygning af klyngen, mens produktionen står stille.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores Redpanda-klynge er sårbar?
Tjek konfigurationsfilen for indstillingen admin_api_require_auth. Står den ikke til sand, eller er den slet ikke sat, er klyngen sårbar. Kontroller også, om port 9644 kan nås udefra jeres administrationsnetværk.
Kan vi vente til weekenden med at rette det?
Kun hvis port 9644 er fuldt afskærmet fra alle netværk, som ikke er betroede administrationssystemer. Er porten tilgængelig internt for almindelige brugere eller fra internettet, bør I rette konfigurationen samme dag.
Er der en officiel opdatering, der løser problemet?
Fejlen skyldes en usikker standardindstilling, ikke en kodefejl, der kræver en ny version. Løsningen er at ændre konfigurationen selv, uanset om leverandøren senere ændrer standardværdien i en kommende udgave.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå Admin API’ets adgangslogs for uventede forespørgsler, nyoprettede eller slettede brugerkonti, og ændringer i klyngekonfiguration, som I ikke selv har foretaget.
Skal vi anmelde det, hvis vi finder tegn på misbrug?
Hvis der er sket databrud eller driftsstop med konsekvens for persondata eller kritisk drift, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Datatilsynet samt jeres forsikring.
Påvirker det også Redpanda i skyen eller kun selvhostede installationer?
Problemet gælder installationer, hvor I selv styrer netværksadgangen til Admin API’et, typisk selvhostede klynger. Administrerede cloud-udgaver kan have anden standardkonfiguration, men det bør bekræftes hos leverandøren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Redpanda through 26.2.2 binds the Admin API to 0.0.0.0:9644 with admin_api_require_auth defaulting to false, treating unauthenticated requests as superusers. Attackers can reach port 9644 without credentials to create and delete broker accounts, modify cluster configuration, and disrupt partition replication.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.