CVE-2026-85426: Kritisk fejl i MOOS-IvP uMemWatch
Kritisk sårbarhed i MOOS-IvP uMemWatch lader angribere køre kommandoer på serveren uden login. Isolér systemet og vent på opdatering.
Hvad er det?
uMemWatch er en overvågningskomponent i MOOS-IvP, et softwaresystem der bruges til at styre autonome fartøjer, typisk ubemandede skibe og undervandsfartøjer i forsknings- og udviklingsprojekter. Sårbarheden CVE-2026-85426 opstår, fordi uMemWatch bygger kommandoer til styresystemet direkte ud fra navnet på tilkoblede MOOS-klienter, uden at rense teksten for særlige tegn. En angriber kan indsætte skal-metategn i klientnavnet, så uMemWatch ved et opkald til systemet (en kommando der sender tekst videre til styresystemet) uforvarende udfører angriberens egne kommandoer i stedet for blot at logge navnet.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører MOOS-IvP med uMemWatch i version 24.8.1 eller ældre. Det gælder primært forsknings- og udviklingsmiljøer inden for maritim robotteknologi, samt danske virksomheder der udvikler eller tester autonome fartøjer, droner til søs eller undervandssensorer baseret på MOOS-IvP rammeværket. Er MOOS-IvP-noden tilgængelig fra et netværk, eksternt eller internt, er systemet udsat.
Hvad kan ske?
En angriber, der kan sende et beskedent stykke data til uMemWatch, kan få processen til at afvikle vilkårlige kommandoer med de rettigheder, uMemWatch-processen kører under. I praksis kan det betyde, at angriberen får en kommandolinje på serveren, kan læse eller ændre filer, installere yderligere programmer, eller i værste fald overtage kontrollen med det tilsluttede autonome fartøj eller den server, der styrer testmiljøet.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværk med lav teknisk kompleksitet. Både fortrolighed, integritet og tilgængelighed af det ramte system er fuldt i fare. Der er ingen kendte tegn på, at sårbarheden aktivt bliver udnyttet i angreb, men den er offentligt beskrevet, hvilket øger risikoen for, at angrebskode dukker op.
Hvad gør jeg nu?
Der findes pr. offentliggørelsen ingen officiel opdatering, så I skal begrænse eksponeringen, mens I afventer en løsning fra MOOS-IvP-projektet.
- Fjern uMemWatch-noder fra åbne eller internetvendte netværk, og placer dem bag en firewall, der kun tillader trafik fra kendte, betroede MOOS-klienter.
- Undersøg om jeres uMemWatch-instans kører med begrænsede rettigheder, og reducer rettighederne til det absolut nødvendige, så et eventuelt indbrud ikke giver fuld systemadgang.
- Overvåg logfiler for uventede kommandoer eller processer startet af uMemWatch-brugeren.
- Følg MOOS-IvP-projektets kanaler for en rettet version, og opdatér så snart en fiks er tilgængelig.
- Kontakt en sikkerhedsrådgiver, hvis I ikke kan isolere systemet fuldstændigt, eller hvis I er i tvivl om, hvorvidt jeres opsætning allerede er kompromitteret.
Isolér systemet i dag
Vi anbefaler, at I straks afskærmer alle MOOS-IvP uMemWatch-installationer fra netværk, I ikke fuldt kontrollerer, da der ikke findes en officiel opdatering endnu. Det er kun i orden at afvente en løsning, hvis systemet allerede kører isoleret uden netværksadgang fra utroværdige kilder. Har I autonome fartøjer i drift eller test, bør I desuden vurdere, om en kompromittering kan påvirke selve fartøjets styring, og planlægge derefter.
Tidslinje
Konkrete eksempler
Testmiljø for autonomt fartøj eksponeret på netværk
Et dansk maritimt teknologifirma tester et undervandsfartøj med MOOS-IvP og uMemWatch på en server, der ved en fejl er tilgængelig fra kontorets almindelige netværk. En medarbejders inficerede bærbare computer scanner netværket, finder uMemWatch-noden og sender et klientnavn med indlejrede skalkommandoer. Angriberen får dermed en kommandolinje på testserveren og adgang til styrefiler for fartøjet.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-85426?
I er kun ramt, hvis I bruger MOOS-IvP med uMemWatch i version 24.8.1 eller ældre. Det er typisk relevant for organisationer, der udvikler eller tester autonome fartøjer eller maritime robotsystemer. Almindelige it-systemer bruger ikke denne komponent.
Hvordan tjekker vi, om uMemWatch er sårbar hos os?
Undersøg hvilken version af MOOS-IvP og uMemWatch, der køres på jeres udviklings- eller testservere, og tjek om komponenten er tilgængelig fra andre netværk end det lokale betroede segment. Er den det, bør den betragtes som udsat, indtil en opdatering findes.
Kan vi vente til efter weekenden med at reagere?
Er systemet allerede isoleret fra utroværdige netværk, kan I vente. Er uMemWatch derimod tilgængelig fra internettet eller et delt netværk, bør I lukke adgangen så hurtigt som muligt, da angrebet ikke kræver login eller brugerhandling.
Skal vi anmelde dette til myndighederne?
Der er ikke krav om anmeldelse, med mindre I konstaterer et faktisk sikkerhedsbrud, der involverer personoplysninger eller kritisk infrastruktur. Konstaterer I misbrug, bør I følge jeres normale procedure for anmeldelse af sikkerhedsbrud, herunder eventuelt til Datatilsynet.
Findes der en midlertidig løsning, indtil en opdatering kommer?
Den mest effektive midlertidige løsning er netværksisolation: sørg for, at kun kendte og betroede MOOS-klienter kan kommunikere med uMemWatch, og fjern al adgang fra åbne eller ukendte netværk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MOOS-IvP uMemWatch through 24.8.1 constructs shell commands from attacker-chosen MOOS client names without sanitization. Attackers can inject shell metacharacters into client names to execute arbitrary commands as the uMemWatch process user through unquoted redirection targets in system calls.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.