CVE-2026-85437: Kritisk bufferoverløb i MOOS-IvP
Kritisk sikkerhedshul i MOOS-IvP (CVE-2026-85437) kan give fjernstyret kodeudførelse. Isolér adgangen til systemet, indtil en opdatering findes.
Hvad er det?
CVE-2026-85437 er flere fejl i buffer overflow (bufferoverløb, hvor data skriver ud over det afsatte hukommelsesområde) i MOOS-IvP, et softwaresystem til styring af autonome fartøjer, typisk brugt i maritim robotteknologi og forskning. Fejlen sidder i de funktioner, der afkoder tekststrenge i IvP-protokollen. Softwaren stoler på længdeoplysninger i data uden at kontrollere, om de stemmer med den faktiske datamængde. En angriber kan derfor sende en manipuleret streng, hvor det angivne og det reelle datalængdefelt ikke matcher, og på den måde overskrive hukommelse på heap eller stack.
Hvem rammer det?
Sårbarheden rammer alle installationer af MOOS-IvP op til version 24.8.1. I Danmark er det relevant for virksomheder og forskningsinstitutioner, der udvikler eller opererer autonome overflade- eller undervandsfartøjer, droneprojekter til maritim overvågning, samt underleverandører til forsvars- og havneindustrien, hvor MOOS-IvP anvendes som styringsplatform.
Hvad kan ske?
En angriber, der kan sende data til systemet via MOOS-variable eller manipulerede alog-filer (loggingsformatet i MOOS-IvP), kan potentielt opnå fuld kodeudførelse på det system, der styrer fartøjet. I praksis betyder det, at angriberen kan overtage styringen af et autonomt fartøj, stjæle forskningsdata eller bruge systemet som indgang til det øvrige netværk hos en dansk maritim teknologivirksomhed.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Sårbarheden kan udnyttes over netværket uden login og uden at en bruger skal klikke på noget eller foretage en handling. Angrebet er teknisk simpelt at udføre. Der er ingen kendte tilfælde af aktiv udnyttelse endnu, men fejlen er offentligt beskrevet, hvilket øger risikoen for, at der udvikles færdige angrebsværktøjer.
Hvad gør jeg nu?
Der findes ikke en opdatering fra leverandøren på tidspunktet for offentliggørelsen. Følgende trin begrænser risikoen, indtil en rettelse kommer:
- Afskær eller begræns netværksadgang til MOOS-IvP-systemer, så kun betroede enheder og operatører kan sende data til dem.
- Gennemgå, hvilke systemer der modtager eksterne MOOS-variable eller alog-filer, og luk for ukendte eller ubekræftede datakilder.
- Overvåg logfiler for uventede nedbrud eller mistænkelig aktivitet i MOOS-processer.
- Hold øje med leverandørens meddelelser om en fikset version, og planlæg opgradering, så snart den udkommer.
- Segmentér netværket, så et kompromitteret styringssystem ikke giver direkte adgang til øvrige forretningssystemer.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at vurdere netværksadgangen til jeres MOOS-IvP-installationer, eller hvis fartøjet er i aktiv drift.
Isolér systemet nu, opdatér når rettelse findes
Vi anbefaler, at I omfatter alle MOOS-IvP-installationer i en risikovurdering med det samme og begrænser netværksadgangen, da der ikke findes en officiel opdatering endnu. Det er ikke forsvarligt at vente til en fast opdatering, hvis systemet er tilgængeligt fra internettet eller et delt netværk. Er MOOS-IvP kun i et isoleret testmiljø uden ekstern adgang, kan I vente, men bør stadig følge leverandørens fremtidige rettelser.
Tidslinje
Konkrete eksempler
Kompromitteret havnedrone hos dansk maritim leverandør
En dansk virksomhed, der udvikler autonome overvågningsfartøjer til havne, bruger MOOS-IvP til styring. En angriber sender en manipuleret alog-fil til fartøjets styringsenhed over det lokale netværk. Bufferoverløbet giver angriberen kodeudførelse på styringssystemet, hvilket i praksis betyder, at fartøjets kurs kan manipuleres, og at angriberen får fodfæste til at bevæge sig videre ind i virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger MOOS-IvP i version 24.8.1 eller ældre til styring af autonome fartøjer eller lignende systemer. Tjek jeres softwareversion og om systemet modtager data fra eksterne kilder via MOOS-variable eller alog-filer.
Hvordan tjekker vi, om vores system er sårbart?
Kontrollér installeret version af MOOS-IvP og kortlæg, hvilke netværk og enheder der kan sende data til de funktioner, der afkoder IvP-strenge. Er systemet tilgængeligt fra internettet eller et delt netværk, er risikoen størst.
Kan vi vente til weekenden med at reagere?
Det afhænger af, hvor eksponeret systemet er. Er MOOS-IvP kun tilgængeligt internt og isoleret, kan I vente. Er systemet tilgængeligt bredere eller styrer et fartøj i aktiv drift, bør I begrænse adgangen med det samme, da der ikke findes en opdatering at læne sig op ad.
Findes der en opdatering, vi kan installere?
Der er ikke offentliggjort en fikset version på tidspunktet for denne beskrivelse. Følg leverandørens kanaler for MOOS-IvP for besked om en rettelse.
Skal vi anmelde dette til myndighederne?
Hvis I driver kritisk infrastruktur eller er underlagt NIS2-krav, og systemet er i produktion, bør I vurdere, om det udløser en anmeldelsespligt til relevante myndigheder. Kontakt jeres sikkerhedsansvarlige eller en rådgiver for en konkret vurdering.
Hvad gør vi, hvis vi ikke kan lukke for netværksadgangen?
Kan I ikke isolere systemet fuldstændigt, bør I i stedet overvåge trafikken tæt, begrænse hvilke afsendere der kan sende MOOS-variable, og forberede en hurtig genstart eller rollback-plan, hvis systemet viser tegn på kompromittering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MOOS-IvP through 24.8.1 contains multiple buffer overflow vulnerabilities in IvP function string decoders that trust attacker-controlled length fields without validation. Attackers can craft malicious encoded strings with mismatched declared and actual field lengths to overflow heap and stack buffers, potentially achieving remote code execution through MOOS variables or alog files.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.