CVE-2026-82460: Kritisk sti-traversal i Cloud Commander
Cloud Commander før version 19.20.2 har en kritisk sårbarhed, der lader angribere læse og skrive filer uden for den tilladte mappe. Opdatér til 19.20.2 eller nyere.
Hvad er det?
CVE-2026-82460 er en sti-traversal-sårbarhed i Cloud Commander, et webbaseret filhåndteringsværktøj. Fejlen ligger i REST-endepunkter til filoperationer og markdown-visning, som ikke tjekker filstier ordentligt, når de normaliseres. Det betyder, at en angriber kan sende specielle tegnsekvenser i en filsti (for eksempel ‘../’) og på den måde bevæge sig ud af den mappe, programmet burde være låst til. Herfra kan angriberen læse, skrive, flytte eller kopiere filer andre steder på serveren.
Hvem rammer det?
Sårbarheden rammer alle installationer af Cloud Commander med version ældre end 19.20.2. Det gælder virksomheder og kommuner, der bruger Cloud Commander som selvhostet filhåndtering, ofte til at give medarbejdere eller kunder webadgang til filer på en server. Er værktøjet eksponeret på internettet eller tilgængeligt fra et internt netværk uden yderligere adgangskontrol, er risikoen størst.
Hvad kan ske?
En angriber kan læse følsomme filer på serveren, for eksempel konfigurationsfiler med adgangskoder eller nøgler til andre systemer. Angriberen kan også skrive eller flytte filer, hvilket kan bruges til at placere skadelig kode på serveren og få den udført. I praksis kan det føre til fuld overtagelse af serveren, tab af data eller at serveren bruges som springbræt til resten af netværket.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, det kan udføres over netværket alene ved at sende en manipuleret forespørgsel til de sårbare endepunkter. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ikke oplyst aktiv udnyttelse i det fri på offentliggørelsesdatoen, men den lave kompleksitet og mangel på krav om login gør sårbarheden attraktiv for automatiseret scanning.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér Cloud Commander til version 19.20.2 eller nyere på alle servere, hvor programmet kører.
- Kan opdatering ikke ske med det samme, så fjern adgang til Cloud Commander fra internettet og begræns adgangen til et internt, betroet netværk.
- Gennemgå adgangslogs for de sårbare endepunkter for tegn på sti-traversal-forsøg, for eksempel forespørgsler med ‘../’ i filstier.
- Tjek om der ligger uventede eller ukendte filer i eller uden for den konfigurerede rodmappe.
- Skift adgangskoder og nøgler, der lå i filer, som kan være læst af en angriber, hvis I finder tegn på forsøg eller udnyttelse.
- Kontakt os eller en anden sikkerhedsrådgiver, hvis I finder spor af udnyttelse, eller hvis I ikke selv kan verificere, om opdateringen er slået korrekt igennem.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Cloud Commander til 19.20.2 så hurtigt som muligt, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Det er kun forsvarligt at vente, hvis Cloud Commander allerede er isoleret fra internettet og kun tilgængeligt for et meget begrænset antal betroede brugere på et internt netværk. I alle andre tilfælde bør opdateringen prioriteres samme dag, den bliver kendt.
Tidslinje
Konkrete eksempler
En dansk virksomhed med selvhostet fildeling
En mellemstor produktionsvirksomhed bruger Cloud Commander til at give medarbejdere webadgang til fælles filer på en intern server, som ved en fejl også er tilgængelig fra internettet via en glemt firewall-regel. En automatiseret scanning finder de sårbare endepunkter og udnytter sti-traversal-fejlen til at læse en konfigurationsfil med databaseadgangskoder, som derefter bruges til at få adgang til virksomhedens ordre- og kundedatabase.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Cloud Commander?
Tjek jeres serverliste og eventuelle interne webværktøjer for filhåndtering. Cloud Commander kører typisk som en selvstændig webapplikation, ofte tilgået via en browser med et filoversigts-lignende brugerinterface.
Er vi ramt, hvis Cloud Commander kun er tilgængeligt internt?
I er stadig sårbare, men risikoen er lavere, fordi en angriber skal have adgang til jeres interne netværk først. Vi anbefaler alligevel opdatering, da interne trusler og kompromitterede medarbejderenheder også er en reel risiko.
Kan vi vente til den næste planlagte opdateringsrunde?
Nej, ikke hvis Cloud Commander er tilgængeligt fra internettet. Sårbarheden kræver ingen login og kan udnyttes automatisk, så vi anbefaler at rykke opdateringen frem uden for den normale kadence.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå adgangslogs for forespørgsler med usædvanlige tegn i filstier, som ‘../’ eller lignende. Se også efter uventede filer i systemet eller ændringer i konfigurationsfiler, I ikke selv har lavet.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet, og persondata eller andre beskyttede data kan være kompromitteret. Find I ingen tegn på udnyttelse, er en opdatering tilstrækkelig, men det er altid en god idé at dokumentere jeres tjek.
Hvad koster det at vente med opdateringen?
Da sårbarheden er kritisk og let at udnytte automatisk, kan ventetid betyde, at en angriber får adgang til følsomme filer eller placerer skadelig kode på serveren, før I når at opdatere. Det er billigere at opdatere nu end at genoprette efter et angreb.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Cloud Commander before 19.20.2 contains a directory traversal vulnerability in REST file-operation and markdown endpoints that fails to properly validate path normalization. Attackers can use path traversal sequences to read, write, move, or copy files outside the configured root directory.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.