CVE-2026-85435: Kritisk fejl i MOOS-IvP uFldNodeBroker

CVE-2026-85435 er en sårbarhed i uFldNodeBroker, en komponent i softwareplatformen MOOS-IvP, som bruges til at styre autonome fartøjer som ubemandede overflade- eller undervandsbåde. Fejlen ligger i, hvordan systemet håndterer såkaldte TRY_SHORE_HOST-beskeder, der bruges til at oprette forbindelse mellem et fartøj og en landbaseret styrestation. Systemet tjekker ikke, om beskeden reelt kommer fra en betroet landstation. Det betyder, at enhver, der kan sende data på fartøjets interne bus, kan udgive sig for at være landstationen og få fartøjet til at sende sin trafik, herunder sensordata og kontrolinformation, videre til en rute, angriberen selv har valgt.

Sårbarheden rammer organisationer, der bruger MOOS-IvP til at styre autonome eller fjernstyrede fartøjer, i alle versioner til og med 24.8.1. I Danmark drejer det sig typisk om forskningsinstitutioner, maritime testcentre, havnemyndigheder og forsvars- eller beredskabsenheder, der anvender ubemandede overflade- eller undervandsfartøjer med uFldNodeBroker-modulet aktiveret. Systemer, hvor fartøjets interne netværk (vehicle bus) kun er tilgængeligt for betroet udstyr, er mindre udsatte, men mange testopsætninger og feltinstallationer bruger delte eller trådløse netværk uden yderligere adskillelse.

En angriber, der kan nå fartøjets interne netværk, kan indmelde sin egen enhed som landstation og få fartøjet til at sende sensordata, positionsdata og kontrolinformation til sig. Det giver mulighed for at aflytte fortrolig operationel information og potentielt påvirke den datastrøm, der ellers går til den rigtige styrestation. For en dansk organisation kan det i praksis betyde, at et testfartøj eller en overvågningsdrone lækker positions- og sensordata til en uvedkommende part, uden at nogen i styrestationen opdager det.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Det giver fuld adgang til fortrolige data (fortrolighed høj) og mulighed for at påvirke den data, systemet arbejder videre med (integritet høj), men det kan ikke i sig selv lukke systemet ned (tilgængelighed ikke berørt). Der er ingen oplysninger om, at sårbarheden aktivt udnyttes, men den er offentliggjort med teknisk detaljeringsgrad, der gør det muligt at bygge et angreb ud fra beskrivelsen.

Prioritér følgende, hvis I bruger MOOS-IvP med uFldNodeBroker:

1. Opdatér til en version af MOOS-IvP, hvor TRY_SHORE_HOST-beskeder valideres mod en betroet afsender, når leverandøren eller projektets vedligeholdere frigiver en rettet version.
2. Indtil en rettelse foreligger, isolér fartøjets interne bus fra usikrede eller delte netværk, så kun betroet udstyr kan sende beskeder på bussen.
3. Indfør netværksfiltrering eller VPN mellem fartøj og landstation, så uautoriserede afsendere ikke kan nå TRY_SHORE_HOST-kanalen.
4. Gennemgå logs for uventede shore-forbindelser eller gentagne registreringsforsøg fra ukendte adresser.
5. Vurdér, om testkørsler og feltoperationer midlertidigt skal foregå på fysisk isolerede netværk, indtil rettelsen er på plads.
6. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har kompetencer til at vurdere netværksopsætningen omkring fartøjets styresystem.