CVE-2026-85438: Kritisk fejl i MOOS-IvP autonomistyring
Kritisk sårbarhed i MOOS-IvP giver angribere mulighed for at overtage kontrollen med autonome fartøjer. Isolér systemet, indtil en rettelse findes.
Hvad er det?
CVE-2026-85438 er en fejl i softwaren MOOS-IvP, som bruges til at styre autonome fartøjer, blandt andet ubemandede både og undervandsfarkoster. Fejlen ligger i funktionen StringToIvPFunction(), som læser dimensioner, antal stykker og gradtal fra indkommende BHV_IPF-datapakker og bruger tallene direkte til at afsætte hukommelse og styre løkker, uden at kontrollere dem først. Det kaldes et heltalsoverløb (CWE-190): et tal bliver større end det felt, det gemmes i, kan rumme, hvorved det vender rundt og bliver et helt andet, ofte meget mindre eller negativt tal. En angriber kan bygge en pakke med mismatchede dimensionsværdier og på den måde få softwaren til at skrive vilkårlige tal langt uden for det tiltænkte hukommelsesområde. Det kan ødelægge programmets hukommelse og i værste fald give angriberen mulighed for at køre egen kode på systemet.
Hvem rammer det?
Sårbarheden rammer alle installationer af MOOS-IvP til og med version 24.8.1. MOOS-IvP bruges primært af forskningsinstitutioner, universiteter og virksomheder, der udvikler eller opererer autonome maritime systemer, herunder ubemandede overflade- og undervandsfartøjer. I Danmark drejer det sig typisk om maritime teknologivirksomheder, offshore- og forsvarsrelaterede leverandører samt forsknings- og udviklingsafdelinger, der arbejder med robotteknologi til søs.
Hvad kan ske?
Hvis et system, der kører MOOS-IvP, er tilgængeligt på et netværk, kan en angriber sende en manipuleret BHV_IPF-pakke uden at skulle logge ind eller narre en bruger til at klikke på noget. Det kan resultere i, at fartøjets styringssoftware går ned, opfører sig uforudsigeligt, eller at angriberen får mulighed for at køre egen kode på styresystemet. For en dansk virksomhed, der driver eller udvikler autonome fartøjer, betyder det risiko for tab af kontrol over udstyret, driftsstop, skader på fysisk udstyr og i alvorlige tilfælde sikkerhedsrisici for mennesker eller andre fartøjer i nærheden.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kan udnyttes over netværk, kræver ingen adgangskode eller login, og kræver ingen handling fra en bruger. Angrebet er teknisk simpelt at udføre. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, eller at der findes offentlig angrebskode, men kombinationen af netværksadgang uden krav om login og en velkendt sårbarhedstype gør det sandsynligt, at angrebskode kan udvikles hurtigt.
Hvad gør jeg nu?
Der findes endnu ingen officiel rettelse fra MOOS-IvP-projektet. Indtil da bør I gøre følgende:
- Fjern netværksadgang til systemer, der kører MOOS-IvP, fra internettet og andre utroliderede netværk. Kør kun kommunikationen på isolerede, betroede netværk.
- Indsæt en filtrering eller firewall-regel, der begrænser, hvem der kan sende BHV_IPF-data til fartøjets styringssystem.
- Overvåg driftslogfiler for uventede nedbrud eller genstarter af MOOS-IvP processer, som kan være tegn på forsøg på udnyttelse.
- Følg MOOS-IvP-projektets kildekode og meddelelser tæt for en officiel rettelse, og planlæg opdatering, så snart den udkommer.
- Overvej at deaktivere eller isolere modulet, hvis systemet ikke aktivt bruger BHV_IPF-funktionaliteten.
- Kontakt en sikkerhedsrådgiver, hvis jeres autonome fartøjer er i aktiv drift, eller hvis I ikke selv kan vurdere netværksadskillelsen.
Afskærm systemet, indtil rettelse findes
Vi anbefaler, at I straks kortlægger, om I bruger MOOS-IvP i drift eller udvikling, og at I sikrer, at systemet ikke er tilgængeligt fra internettet eller andre utroliderede netværk. Det er kun forsvarligt at vente med yderligere tiltag, hvis systemet allerede kører fuldstændig isoleret fra netværk, ingen kan nå det udefra. I alle andre tilfælde bør netværksisolering ske med det samme, da der endnu ikke findes en officiel rettelse.
Tidslinje
Konkrete eksempler
Autonomt overvågningsfartøj på havneanlæg
Et dansk maritimt teknologifirma bruger MOOS-IvP til at styre et ubemandet overfladefartøj, der overvåger et havneområde. Fartøjets kontrolforbindelse er tilgængelig via en mobil netværksforbindelse, der ikke er fuldt isoleret. En angriber sender en manipuleret BHV_IPF-pakke og får fartøjet til at gå ned midt i en overvågningsopgave, hvilket medfører driftsstop og potentielt tab af udstyr, hvis fartøjet mister styring nær kaj eller andre fartøjer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger MOOS-IvP i version 24.8.1 eller tidligere til at styre autonome fartøjer eller til udvikling og test heraf. Tjek versionsnummeret i jeres installation, og undersøg om systemet modtager BHV_IPF-data fra eksterne kilder eller over netværk.
Hvordan tjekker vi, om systemet er sårbart?
Kontrollér, hvilken version af MOOS-IvP der kører på jeres udstyr, og om systemet er tilgængeligt fra netværk, som ikke er fuldt betroede. Er versionen 24.8.1 eller ældre, og er der netværksadgang udefra, er systemet sårbart.
Kan vi vente til weekenden med at gøre noget?
Nej, hvis systemet er tilgængeligt fra et netværk uden for jeres kontrol. Da sårbarheden ikke kræver login eller brugerhandling, bør netværksisolering ske hurtigst muligt og ikke afvente et planlagt vedligeholdelsesvindue.
Findes der en opdatering, vi kan installere?
Nej, der er på offentliggørelsestidspunktet ingen officiel rettelse fra MOOS-IvP-projektet. Indtil da er netværksisolering og adgangsbegrænsning den primære beskyttelse.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og at det har medført et sikkerhedsbrud med tab af data eller kontrol over udstyr. Er der tale om forebyggende afskærmning uden konstateret angreb, er der ikke krav om anmeldelse.
Påvirker det andre systemer end selve fartøjet?
Sårbarheden ligger i selve MOOS-IvP-softwaren og kan i princippet ramme ethvert system, der kører den, herunder simulerings- og testmiljøer på kontorets netværk, ikke kun fartøjer i drift.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MOOS-IvP through 24.8.1 contains a buffer overflow vulnerability in StringToIvPFunction() where dimension, piece, and degree counts from encoded BHV_IPF payloads are used as allocation sizes and loop bounds without validation. Attackers can supply crafted payloads with mismatched dimension values to write attacker-controlled doubles past the end of the IvPBox weight array, causing memory corruption and potential code execution.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.