CVE-2026-82857: Kritisk privilegie-fejl i hulumi
Fejl i hulumi før v1.3.2 giver angribere mulighed for at oprette roller med høje rettigheder i sandbox-miljøer. Opdatér til v1.3.2.
Hvad er det?
CVE-2026-82857 er en sårbarhed i hulumi, et værktøj der bruges til at automatisere oprettelse og styring af IAM-roller (adgangsroller i cloud-infrastruktur) i forbindelse med tilbagevendende integrationer mod testmiljøer. Fejlen ligger i den politik, der styrer rettigheder for såkaldte af-e2e-roller, som bruges til automatiserede test i sandbox-konti (isolerede testmiljøer adskilt fra produktion). Politikken mangler tilstrækkelige afgrænsninger, så en angriber med adgang til den dokumenterede tjenestekonto kan oprette nye roller med højere rettigheder end tilsigtet. Disse roller forbliver aktive, efter at angrebet er udført, hvilket giver vedvarende adgang.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger hulumi i version før v1.3.2 til at automatisere IAM-roller i forbindelse med testintegrationer, typisk DevOps- og udviklingsteams med koblede sandbox-konti hos en cloud-udbyder. Det gælder især organisationer, der har opsat automatiserede weekly integrationer med af-e2e-navngivne roller som en fast del af deres CI/CD-opsætning (automatiseret bygge- og testflow).
Hvad kan ske?
En angriber, der får fat i den dokumenterede tjenestekonto, kan oprette nye roller med højere rettigheder end tilsigtet i sandbox-kontoen. Fordi rollerne er vedvarende, kan angriberen bevare adgang længe efter det oprindelige indbrud, selv hvis den oprindelige adgangsvej lukkes. Herfra kan angriberen typisk læse, ændre og slette data i testmiljøet og i værste fald bruge den nye adgang som springbræt til andre dele af cloud-miljøet, hvis netværk og konti ikke er tilstrækkeligt adskilt fra produktion.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at angriberen i forvejen har rettigheder i systemet, og det kræver ingen handling fra en bruger. Angrebet kan udføres over netværket. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi angriberen kan skabe egne, vedvarende adgangsveje. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes, eller at der findes offentlig kode til at udnytte den.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér hulumi til v1.3.2 eller nyere, hvor IAM-politikken for af-e2e-roller er strammet op.
- Gennemgå alle eksisterende af-e2e-roller i sandbox-konti og fjern eller nedgrader roller, der ikke stemmer overens med det tilsigtede rettighedsniveau.
- Roter legitimationsoplysninger for den dokumenterede tjenestekonto, der bruges af hulumis integration.
- Gennemgå logs for rolleoprettelser og rettighedsændringer i sandbox-kontoen for at afdække, om uautoriserede roller allerede er oprettet.
- Adskil sandbox-konti fra produktion med separate cloud-konti eller stærke rettighedsgrænser, så en kompromitteret testrolle ikke kan nå produktionsdata.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I finder tegn på uautoriserede roller, eller hvis I ikke har ressourcer til selv at gennemgå IAM-konfigurationen.
Opdatér til v1.3.2 inden for få dage
Vi anbefaler, at I opdaterer hulumi til v1.3.2 så hurtigt som muligt, da sårbarheden giver mulighed for vedvarende privilegie-eskalering uden brugerinteraktion. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, medmindre I samtidig midlertidigt spærrer adgangen for den dokumenterede tjenestekonto. Det er acceptabelt at afvente en ordinær opdatering, hvis I allerede har lukket sandbox-kontoen helt af fra netværket, men det bør kun være en midlertidig løsning.
Tidslinje
Konkrete eksempler
Testmiljø bliver springbræt
Et dansk softwarehus bruger hulumi til at automatisere ugentlige test af nye funktioner i en sandbox-konto hos deres cloud-udbyder. En angriber, der får fat i den tjenestekonto, hulumi bruger til integrationen, opretter en ny af-e2e-rolle med udvidede rettigheder. Rollen forbliver aktiv, efter at det oprindelige spor er slettet, og giver angriberen vedvarende adgang til testdata og mulighed for at undersøge, om der er svage adskillelser til produktionsmiljøet.
Ofte stillede spørgsmål
Bruger vi overhovedet hulumi, og hvordan finder vi ud af det?
Tjek jeres DevOps- eller infrastrukturteams værktøjsliste og eventuelle CI/CD-konfigurationer for referencer til hulumi. Er værktøjet integreret i automatiserede test- eller udrulningsflows, bør I afklare den installerede version.
Hvordan tjekker vi, om vi er ramt?
Gennemgå IAM-logs i jeres sandbox-konto for oprettelse af roller med navne, der starter med af-e2e-, og som ikke stemmer overens med jeres kendte, tilsigtede opsætning. Tjek også, hvilken version af hulumi der kører.
Kan vi vente med opdateringen til weekenden?
Det frarådes. Sårbarheden kræver ingen brugerinteraktion og kan udnyttes over netværket, så en kort forsinkelse øger risikoen unødigt. Kan I ikke opdatere med det samme, bør I midlertidigt spærre eller rotere adgangen for den dokumenterede tjenestekonto.
Er produktionsmiljøet også i fare, eller kun sandbox?
Sårbarheden ligger i sandbox-kontoens IAM-politik, men hvis sandbox-kontoen ikke er tilstrækkeligt adskilt fra produktion, kan en angriber potentielt bruge den nye adgang som springbræt videre. Vi anbefaler at kontrollere netværks- og kontoadskillelse som en del af oprydningen.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I beviser på, at uautoriserede roller er oprettet og misbrugt, og at persondata er berørt, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Vi anbefaler at inddrage jeres databeskyttelsesrådgiver eller en ekstern sikkerhedsrådgiver til vurderingen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
hulumi versions before v1.3.2 contain a privilege escalation vulnerability in the weekly integration IAM policy that allows role lifecycle operations on af-e2e-* roles without sufficient boundary restrictions. Attackers with the documented principal can create persistent higher-privilege roles in the sandbox account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.