CVE-2026-85672: Kritisk kommandoinjektion i zerox 1.1.20

CVE-2026-85672 er en kommandoinjektion, det vil sige en fejl hvor et program uforvarende lader en angriber sende egne styresystemkommandoer ind i et program, som burde have blokeret det. Fejlen findes i zerox 1.1.20, et værktøj til at hente og behandle dokumenter. Når zerox henter et dokument via en URL, udtrækker det en filtypeendelse fra URL’en og sætter den direkte ind i en kommando, der kører poppler-værktøjer til PDF-behandling. Ved at bygge en URL med en filtypeendelse, der indeholder specialtegn til kommandosubstitution, kan en angriber få serveren til at udføre egne kommandoer, allerede før dokumentet er blevet behandlet.

Det rammer virksomheder og kommuner, der bruger zerox 1.1.20 til at hente, konvertere eller udtrække tekst fra dokumenter, typisk som en del af en sagsbehandlingsløsning, et dokumentarkiv eller en integration, der modtager filer fra eksterne kilder. Er systemet vendt mod internettet eller behandler dokumenter fra eksterne afsendere, som e-mail-vedhæftninger eller uploads fra borgere og kunder, er risikoen størst.

En angriber, der udnytter fejlen, kan køre vilkårlige kommandoer med de samme rettigheder som zerox-processen. I praksis betyder det, at angriberen kan læse, ændre og slette filer, installere skadelig kode, oprette bagdøre eller bruge serveren som springbræt til resten af netværket. Ligger zerox på en server med adgang til CPR-data, økonomisystemer eller andre følsomme oplysninger, kan konsekvensen være datatab eller et fuldt kompromitteret system.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger, og kan udføres over netværket med lav teknisk kompleksitet. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men den er offentligt beskrevet, og et angreb er teknisk enkelt at bygge, fordi metoden er kendt.

Følgende punkter bør gennemgås i prioriteret rækkefølge:

1. Opdatér zerox til en version nyere end 1.1.20, hvis leverandøren har udgivet en rettet version. Tjek leverandørens changelog eller GitHub-side for en sikkerhedsrettelse.
2. Er der ingen rettet version tilgængelig endnu, isoler zerox-tjenesten fra internettet eller placér den bag en firewall, der kun tillader betroede kilder at sende dokumenter.
3. Gennemgå koden eller konfigurationen for at fjerne eller stramt validere, hvilke filtypeendelser og URL-strukturer der accepteres, før de bruges i kommandoer.
4. Kør zerox-processen med et begrænset servicebrugerkonto uden adgang til følsomme filer eller systemer, så et eventuelt angreb ikke spreder sig.
5. Gennemgå logfiler for usædvanlige dokument-URL’er eller uventede fejl i poppler-processer, der kan indikere forsøg på udnyttelse.
6. Kontakt os eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om systemet er sårbart, eller hvis I mangler ressourcer til at isolere og opdatere systemet.