CVE-2026-82452: Godkendelsesfejl i rust-iot-platform
Rust-iot-platform mangler adgangskontrol på næsten alle API-endepunkter. Angribere kan oprette og slette brugere uden login. Opdater til rettet version eller afskærm systemet fra internettet.
Hvad er det?
CVE-2026-82452 er en fejl i adgangskontrol i rust-iot-platform, en open source-platform til styring af IoT-enheder (internet-forbundne sensorer og udstyr). Fejlen skyldes, at de fleste REST API-ruter, altså adresser som programmer bruger til at hente og ændre data, ikke tjekker om brugeren er logget ind. Det betyder, at en angriber kan tilgå funktioner til at oprette, hente, ændre og slette brugerkonti direkte, uden brugernavn eller adgangskode. Fejlen er klassificeret som CWE-306, manglende godkendelse ved kritiske funktioner, og findes i alle versioner af koden op til commit 5df942ab.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører rust-iot-platform til at administrere IoT-enheder, for eksempel sensorer i bygninger, produktionsanlæg eller lagerstyring. Særligt udsatte er installationer, hvor platformens API er tilgængeligt fra internettet uden et ekstra lag af beskyttelse som VPN eller firewall. Alle versioner op til commit 5df942ab er berørt.
Hvad kan ske?
En angriber kan uden login oprette en ny administratorkonto, slette eksisterende brugere eller overtage eksisterende konti. Dermed kan angriberen få fuld kontrol over platformen og de tilsluttede IoT-enheder, læse data fra sensorer, ændre indstillinger eller slukke udstyr. For en dansk virksomhed kan det betyde driftsstop, manipulerede måledata eller adgang til interne netværk via den kompromitterede platform.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode, ingen handling fra en bruger og kan udføres over netværket mod et system med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad. Der er ikke offentliggjort oplysninger om aktiv udnyttelse på offentliggørelsesdatoen, men fordi angrebet er så simpelt at udføre, bør det behandles som en åben dør, indtil den er lukket.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I opdaterer.
- Opdater rust-iot-platform til en version nyere end commit 5df942ab, hvor adgangskontrollen er rettet.
- Kan I ikke opdatere med det samme, så afskær API’et fra internettet og gør det kun tilgængeligt via VPN eller internt netværk.
- Gennemgå logs for uventet oprettelse, ændring eller sletning af brugerkonti siden fejlen blev kendt.
- Nulstil adgangskoder og gennemgå listen over administratorkonti for at fjerne konti, I ikke selv har oprettet.
- Hvis I ikke selv kan vurdere, om systemet er eksponeret, eller om I er blevet kompromitteret, bør I få hjælp fra en sikkerhedsspecialist til at gennemgå logs og netværksadgang.
Afskær adgang nu, opdater snarest
Vi anbefaler, at I opdaterer rust-iot-platform til en version efter commit 5df942ab så hurtigt som muligt, og i mellemtiden sørger for, at API’et ikke er tilgængeligt fra internettet uden VPN. Det er kun i orden at vente, hvis systemet allerede kører isoleret fra internettet og ikke kan tilgås uden fysisk eller netværksmæssig adgang til det interne netværk. Er I i tvivl om jeres eksponering, bør I få den afklaret nu, da angrebet ikke kræver login eller specialviden.
Tidslinje
Konkrete eksempler
Overtagelse af sensorstyring i produktionsvirksomhed
En dansk produktionsvirksomhed bruger rust-iot-platform til at overvåge temperatur og fugtighed i et lager via sensorer. Fordi API’et er tilgængeligt fra internettet, opretter en angriber en administratorkonto uden login og ændrer sensorernes alarmgrænser. Fejlen opdages først, da varer bliver beskadiget af forkert opbevaringstemperatur, og en gennemgang af logs afslører den uautoriserede konto.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger rust-iot-platform?
Tjek jeres oversigt over installerede systemer og spørg leverandøren af jeres IoT-løsning, om den er bygget på rust-iot-platform. Er I i tvivl, kan I søge efter platformens navn i konfigurationsfiler eller kontakte den, der har opsat systemet.
Kan vi vente til weekenden med at opdatere?
Kun hvis API’et ikke er tilgængeligt fra internettet. Er det tilgængeligt udefra, bør I afskære adgangen nu og opdatere så hurtigt som muligt, da angrebet ikke kræver login.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå logs for oprettelse eller sletning af brugerkonti, som I ikke selv har foretaget, og se efter uventede administratorkonti. Er der aktivitet, I ikke kan forklare, bør I involvere en sikkerhedsspecialist.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at brugerdata er blevet tilgået eller ændret uretmæssigt, kan det være en anmeldelsespligtig sikkerhedsbrist. Vurderingen bør ske sammen med jeres databeskyttelsesrådgiver eller en sikkerhedsspecialist.
Er alle versioner af rust-iot-platform ramt?
Alle versioner op til og med commit 5df942ab er berørt. Nyere versioner, hvor adgangskontrollen er tilføjet til API-ruterne, er ikke ramt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
rust-iot-platform through commit 5df942ab contains an authentication bypass vulnerability where most REST API routes lack authentication guards in their handler signatures. Unauthenticated attackers can create, update, list, retrieve, and delete user accounts by directly accessing unprotected endpoints without providing valid credentials.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.