CVE-2026-82971: Kommandoinjektion i QVidium Opera11
Kritisk sårbarhed i QVidium Opera11 tillader fjernstyret kommandoinjektion uden login. Produktet er udgået, og der kommer ingen opdatering.
Hvad er det?
Sårbarheden findes i QVidium Opera11, version 3.3.2a26-Ax4x-opera11, i CGI-scriptet (et program på serveren, der behandler webforespørgsler) /cgi-bin/net_tr.cgi. Parameteren ipaddr valideres ikke korrekt, og det gør det muligt for en angriber at indsætte og køre egne systemkommandoer på enheden. Det kaldes kommandoinjektion. Angrebet kan udføres over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger. Koden til at udnytte fejlen er allerede offentligt tilgængelig. Producenten QVidium er lukket og leverer ikke længere support eller opdateringer til produktet, så fejlen vil aldrig blive rettet af leverandøren.
Hvem rammer det?
Det rammer virksomheder og organisationer, der stadig har QVidium Opera11 i drift, version 3.3.2a26-Ax4x-opera11. Produktet bruges typisk til videoindkodning eller streaming, for eksempel i broadcast, overvågning eller AV-løsninger. Enheder, der er tilgængelige fra internettet eller fra et internt netværk, hvor en angriber allerede har fået fodfæste, er udsat.
Hvad kan ske?
En angriber kan afvikle vilkårlige kommandoer på enheden med den adgang, enhedens softwareprocess har. I praksis betyder det, at angriberen kan overtage enheden fuldstændigt, læse og ændre data, og bruge enheden som springbræt videre ind i netværket. For en dansk virksomhed kan det betyde tab af videodata, driftsstop for streaming eller overvågning, og et indgangspunkt til resten af netværket.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, det højeste niveau. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger, og kan udføres fra netværket. Fortrolighed, integritet og tilgængelighed er alle vurderet som fuldt kompromitterede. Koden til at udnytte fejlen er offentliggjort, så barrieren for at angribe er lav.
Hvad gør jeg nu?
Da produktet er udgået og ikke længere understøttes, kommer der ingen officiel opdatering. Fokus skal derfor være på at fjerne eksponeringen og planlægge udskiftning.
- Fjern enheden fra internettet, eller blokér adgang til /cgi-bin/net_tr.cgi via firewall, så den ikke kan nås udefra eller fra usikre netværkssegmenter.
- Undersøg om enheden i dag er tilgængelig fra internettet eller fra kontornetværket, og indsnævr adgangen til kun de systemer, der har brug for den.
- Segmentér enheden på et isoleret netværk uden forbindelse til øvrige systemer, hvis den skal blive i drift.
- Overvåg logfiler fra enheden og omkringliggende netværksudstyr for usædvanlig aktivitet.
- Planlæg udskiftning af enheden til et produkt, der stadig understøttes af en leverandør, da fejlen aldrig bliver rettet.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan segmentere netværket eller vurdere jeres eksponering.
Fjern enheden fra internettet i dag
Vi anbefaler, at I straks fjerner QVidium Opera11 fra internettet og isolerer den på et separat netværkssegment, da der aldrig kommer en officiel opdatering. Det er ikke i orden at vente, da koden til at udnytte fejlen er offentligt tilgængelig, og angrebet kan udføres uden login. På sigt bør enheden udskiftes med et produkt fra en leverandør, der fortsat leverer support.
Tidslinje
Konkrete eksempler
Overvågningsenhed eksponeret på internettet
En dansk kommune bruger QVidium Opera11 til at streame video fra et overvågningskamera og har åbnet adgang til enheden fra internettet for fjernadgang. En angriber finder enheden ved en simpel netværksscanning, udnytter fejlen i /cgi-bin/net_tr.cgi uden at logge ind, og får fuld kontrol over enheden. Herfra bruger angriberen enheden som springbræt til at scanne resten af kommunens netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte enhed?
Tjek jeres udstyrsliste for QVidium Opera11, og verificér versionen 3.3.2a26-Ax4x-opera11 via enhedens administrationsside eller ved kontakt til den, der har installeret systemet.
Kan vi vente med at gøre noget til efter weekenden?
Nej. Koden til at udnytte fejlen er offentligt tilgængelig, og angrebet kræver ingen login. Vi anbefaler at fjerne enheden fra internettet eller blokere adgangen samme dag, det opdages.
Kommer der en opdatering fra QVidium?
Nej. QVidium er lukket som virksomhed og leverer ikke længere support eller opdateringer. Fejlen bliver ikke rettet af leverandøren.
Kan vi bare beholde enheden bag en firewall?
Det reducerer risikoen, men løser ikke problemet, hvis en angriber allerede har adgang til det interne netværk. Vi anbefaler segmentering og en plan for udskiftning på sigt.
Skal vi anmelde noget, hvis vi er blevet ramt?
Hvis der er sket et sikkerhedsbrud med personoplysninger, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler. Kontakt jeres sikkerhedsrådgiver for en konkret vurdering.
Er der en erstatning for QVidium Opera11, vi kan skifte til?
Det afhænger af jeres konkrete brug, for eksempel videoindkodning eller streaming. Vi kan hjælpe med at finde et understøttet produkt, der matcher jeres behov.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in QVidium Opera11 3.3.2a26-Ax4x-opera11. This affects an unknown part of the file /cgi-bin/net_tr.cgi of the component CGI Script. This manipulation of the argument ipaddr causes command injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains: “QVidium has now closed its doors and no longer will be able to sell products or provide support.” This vulnerability only affects products that are no longer supported by the maintainer.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.