CVE-2026-85425: Kritisk fejl i MOOS-IvP iSay
Kritisk sikkerhedshul i MOOS-IvP iSay lader angribere køre vilkårlige kommandoer uden login. Isolér systemet og opdatér, når rettelse findes.
Hvad er det?
MOOS-IvP er en softwareplatform, der bruges til at styre autonome robotter, droner og fartøjer, blandt andet inden for forskning og maritim autonomi. iSay er en talemodul i platformen, der læser tekstbeskeder højt. Sårbarheden CVE-2026-85425 ligger i, hvordan iSay håndterer beskeder i variablen SAY_MOOS. Teksten sendes direkte videre til systemets kommandolinje uden at blive renset for farlige tegn. Det betyder, at en besked med bagstykker eller kommandoerstatning kan få systemet til at udføre helt andre kommandoer, end det var meningen. Det er en klassisk kommandoindsprøjtning, hvor systemet forveksler brugerdata med programkode. Angriberen behøver hverken login eller adgang til selve maskinen, kun mulighed for at publicere en besked til SAY_MOOS.
Hvem rammer det?
Sårbarheden rammer alle installationer af MOOS-IvP iSay til og med version 24.8.1. Det er typisk forsknings- og uddannelsesinstitutioner, ingeniørvirksomheder og maritime aktører, der udvikler eller opererer autonome fartøjer, undervandsdroner eller robotter baseret på MOOS-IvP. Der er ikke tale om et almindeligt kontorsystem, men om en teknisk platform, der ofte kører på styreenheder tilkoblet sensorer, motorer eller kommunikationsudstyr. Hvis jeres organisation bruger MOOS-IvP i test, produktion eller ude i marken, er I omfattet.
Hvad kan ske?
En angriber, der kan sende en SAY_MOOS-besked til systemet, kan få det til at udføre vilkårlige kommandoer med samme rettigheder som iSay-processen. I praksis betyder det fuld kontrol over den enhed, der kører softwaren: aflæsning og ændring af data, installation af skadelig kode, eller sabotage af det autonome fartøjs adfærd. Da MOOS-IvP ofte styrer fysisk udstyr som droner eller fartøjer, kan konsekvensen række ud over datatab og ramme selve driften eller sikkerheden omkring udstyret.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller brugerhandling fra offeret, og det kan udføres over netværket med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, altså den værst tænkelige kombination. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men angrebsmetoden er simpel at gennemføre, når først et system er tilgængeligt for angriberen.
Hvad gør jeg nu?
Prioritér følgende, mens I afklarer om en rettet version er tilgængelig fra projektet:
- Afskær eller begræns netværksadgang til systemer, der kører MOOS-IvP iSay, så kun betroede enheder kan sende beskeder til dem.
- Undersøg om der er udgivet en rettet version efter 24.8.1, og opdatér til denne, så snart den findes.
- Hvis I selv har adgang til koden, indsæt sanitering eller validering af SAY_MOOS-input, så tekst med bagstykker eller kommandoerstatning afvises.
- Gennemgå logs for uventede kommandoudførsler eller mistænkelig aktivitet på berørte enheder.
- Overvej at deaktivere iSay-modulet midlertidigt, hvis talefunktionen ikke er kritisk for driften.
- Kontakt ekstern sikkerhedsrådgivning, hvis I ikke har mulighed for at vurdere eller rette koden selv, eller hvis systemet styrer fysisk udstyr i drift.
Isolér systemet inden for 24 timer
Vi anbefaler, at I straks begrænser netværksadgangen til systemer, der kører MOOS-IvP iSay, uanset om der findes en rettet version. Da der ikke er offentliggjort en fix på tidspunktet for denne beskrivelse, bør I behandle enhver eksponering af SAY_MOOS-grænsefladen som en åben dør. Det er kun forsvarligt at vente, hvis systemet er fuldstændig isoleret fra netværk, som angribere kan nå. Er systemet tilgængeligt fra internettet eller et delt netværk, bør I handle samme dag.
Tidslinje
Konkrete eksempler
Forskningsinstitution med autonom overfladefartøj
En dansk forskningsinstitution bruger MOOS-IvP til at styre et testfartøj, der kommunikerer over et lokalt netværk med en styrestation. En angriber, der får adgang til netværket, sender en SAY_MOOS-besked med indlejret kommando og opnår kontrol over styrecomputeren. Herfra kan angriberen aflæse forskningsdata eller ændre fartøjets adfærd, mens det er i vandet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres organisation bruger MOOS-IvP med iSay-modulet i version 24.8.1 eller tidligere. Tjek konfigurationen af jeres autonome systemer eller spørg den, der har sat platformen op.
Hvordan tjekker vi, om systemet er sårbart?
Undersøg om iSay-modulet er aktivt, og om SAY_MOOS-variablen kan modtages fra netværk, som ikke er fuldt betroet. Gennemgå desuden systemets version mod 24.8.1 eller tidligere.
Kan vi vente til weekenden med at gøre noget?
Kun hvis systemet er fysisk eller netværksmæssigt isoleret fra alle, der ikke er betroede. Er systemet tilgængeligt fra et delt netværk eller internettet, bør netværksbegrænsning indføres samme dag.
Findes der en officiel rettelse?
Der er ikke oplyst en rettet version på tidspunktet for offentliggørelsen. Følg projektets meddelelser og opdatér, så snart en rettelse foreligger.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis sårbarheden bliver udnyttet, og persondata eller kritisk infrastruktur berøres, kan I være forpligtet til at anmelde det til Datatilsynet eller relevante myndigheder, afhængigt af hvad systemet styrer og hvilke data det behandler.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MOOS-IvP iSay through 24.8.1 contains a remote code execution vulnerability in the SAY_MOOS variable handler that passes unsanitized text to a shell command. Attackers can publish SAY_MOOS messages containing backticks or command substitution syntax to execute arbitrary commands as the iSay process user.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.