CVE-2026-84699: Kritisk fejl i Team Password Manager
Team Password Manager kan få nulstillet adgangskoder uden login. Opdatér til version 14.184.308.
Hvad er det?
CVE-2026-84699 er en sårbarhed i Team Password Manager, et webbaseret system, som organisationer bruger til at opbevare og dele adgangskoder internt. Fejlen sidder i funktionen til nulstilling af adgangskode for lokale konti. Systemet tjekker ikke, om den, der beder om en nulstilling, faktisk er godkendt til det. Det betyder, at en angriber uden login kan sætte en ny adgangskode på en vilkårlig lokal konto og bagefter logge ind som den bruger. CWE-640 er betegnelsen for denne type svaghed: en svag mekanisme til gendannelse af adgangskode.
Hvem rammer det?
Sårbarheden rammer alle, der kører Team Password Manager i en version ældre end 14.184.308, og som bruger lokale konti til login (altså ikke udelukkende ekstern godkendelse via LDAP eller SSO). Da systemet netop er beregnet til at opbevare adgangskoder til andre systemer, server, netværksudstyr, cloud-tjenester, rammer sårbarheden i praksis hele den IT-drift, der er dokumenteret i password manageren.
Hvad kan ske?
En angriber kan uden at kende noget som helst på forhånd nulstille adgangskoden på en administratorkonto og logge ind. Herfra har vedkommende adgang til alle adgangskoder, der ligger gemt i systemet: servere, firewalls, cloud-konti, databaser og andre tjenester. Det giver et direkte spring til at overtage store dele af virksomhedens IT-infrastruktur, uden at angriberen først skal bryde ind noget andet sted.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendelse (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket med lav teknisk kompleksitet (AC:L). Konsekvensen er fuld læse- og skriveadgang til fortrolige data (C:H, I:H), mens systemets tilgængelighed ikke påvirkes direkte. Der er ikke oplysninger om aktiv udnyttelse på offentliggørelsestidspunktet, men kombinationen af lav kompleksitet og intet krav om login gør sårbarheden meget attraktiv at udnytte.
Hvad gør jeg nu?
Fordi Team Password Manager typisk gemmer nøglerne til resten af IT-miljøet, bør denne sårbarhed have høj prioritet.
- Opdatér Team Password Manager til version 14.184.308 eller nyere. Det lukker hullet i nulstillingsfunktionen.
- Kan opdateringen ikke ske straks, så afskær adgang til systemet fra internettet og begræns det til internt netværk eller VPN, indtil opdateringen er gennemført.
- Gennemgå logs for uventede nulstillinger af adgangskode eller login fra ukendte IP-adresser i perioden, hvor systemet var sårbart.
- Hvis der er tegn på misbrug, eller I er i tvivl, skift alle adgangskoder, der ligger gemt i systemet, da de kan være kompromitteret.
- Aktivér to-faktor login for alle konti i systemet, hvis muligt, så en nulstillet adgangskode alene ikke giver adgang.
- Hent ekstern hjælp, hvis I finder spor af uautoriseret adgang, eller hvis I ikke har ressourcer til selv at gennemgå logs og skifte adgangskoder i systemet.
Opdatér inden for 24 timer
Vi anbefaler, at opdateringen til version 14.184.308 gennemføres hurtigst muligt, da Team Password Manager i praksis er nøglen til resten af jeres IT-drift. Det er kun forsvarligt at vente, hvis systemet allerede er isoleret fra internettet og udelukkende tilgås internt. Er I i tvivl om, hvorvidt systemet har været udsat, bør I gennemgå logs, før I lukker sagen.
Tidslinje
Konkrete eksempler
IT-afdeling i en dansk kommune mister kontrol over adgangskoder
En kommunes IT-afdeling bruger Team Password Manager til at dele adgangskoder til servere, netværksudstyr og cloud-tjenester mellem medarbejderne. En angriber finder systemet eksponeret på internettet, nulstiller adgangskoden på en administratorkonto uden at logge ind først, og får dermed adgang til samtlige gemte adgangskoder. Herfra kan angriberen logge ind på kommunens servere og cloud-miljø med gyldige legitimationsoplysninger, uden at det umiddelbart ligner et indbrud.
Ofte stillede spørgsmål
Hvordan ved vi, om vi er ramt?
I er ramt, hvis I kører Team Password Manager i en version ældre end 14.184.308 med lokale konti aktiveret. Tjek versionsnummeret i systemets administrationspanel.
Hvordan tjekker vi, om nogen har udnyttet sårbarheden?
Gennemgå systemets logs for anmodninger om nulstilling af adgangskode og efterfølgende login, som ikke stammer fra kendte medarbejdere eller kendte IP-adresser. Vær særligt opmærksom på nulstillinger af administratorkonti.
Kan vi vente med at opdatere til i weekenden?
Det frarådes, medmindre systemet allerede er utilgængeligt fra internettet. Da sårbarheden ikke kræver login og kan udnyttes automatisk, kan et angreb ske på ethvert tidspunkt, ikke kun i arbejdstiden.
Skal vi skifte alle adgangskoder, der ligger gemt i systemet?
Kun hvis logs viser tegn på uautoriseret nulstilling eller login i den periode, hvor systemet var sårbart. Er der ingen spor af misbrug, er det tilstrækkeligt at opdatere systemet.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og at personoplysninger dermed kan være kompromitteret. Er der ingen spor af misbrug, er der ikke grundlag for en anmeldelse.
Hvad betyder CWE-640?
CWE-640 dækker svage mekanismer til gendannelse eller nulstilling af adgangskode, hvor systemet ikke sikrer, at det faktisk er den rette bruger, der beder om nulstillingen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Team Password Manager before 14.184.308 fails to enforce authentication requirements in the local account password reset flow. Unauthenticated attackers can reset local account passwords and authenticate as those users to gain unauthorized access.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.