CVE-2026-86542: Kritisk fejl i knowns før 0.30.0
Fejl i knowns før version 0.30.0 lader angribere uden login overskrive filer på serveren. Opdatér til 0.30.0.
Hvad er det?
Sårbarheden CVE-2026-86542 findes i systemet knowns, som bruges til at importere data. Fejlen er en path traversal (CWE-22), en sårbarhedstype hvor et program ikke tjekker, om et filnavn indeholder tegn som "../", der kan bruges til at bryde ud af den mappe, filen normalt skal ligge i. I knowns validerer import-funktionen ikke navnet på den fil, der importeres. Det betyder, at en angriber kan sende et filnavn med traversal-sekvenser og få serveren til at skrive filer uden for imports-mappen, i stedet for kun der hvor importerede filer normalt gemmes. Angrebet kræver hverken login eller nogen handling fra en bruger og kan udføres direkte over internettet.
Hvem rammer det?
Alle, der kører knowns i en version før 0.30.0, er ramt. Det gælder både selvhostede installationer og installationer driftet af en ekstern it-leverandør. Er importfunktionen tilgængelig fra internettet, kan enhver angribe systemet uden brugerkonto.
Hvad kan ske?
En angriber kan overskrive filer, som serverprocessen har skriverettighed til. Det kan bruges til at ændre konfigurationsfiler, overskrive programkode eller placere nye filer, der giver fuld kontrol over serveren. I praksis kan det medføre driftsstop, ødelagte data eller en fuldstændig overtagelse af systemet.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,1 ud af 10, hvilket er kritisk. Den kræver hverken login eller nogen handling fra en bruger og kan udnyttes direkte over netværket med lav teknisk kompleksitet. Konsekvensen er høj skade på integritet og tilgængelighed, altså mulighed for at ændre eller ødelægge data og systemer, mens fortroligheden ikke er direkte påvirket. Der er ikke oplysninger om, at sårbarheden er udnyttet på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér knowns til version 0.30.0 eller nyere. Det er den rettelse, der lukker sårbarheden.
- Kan opdateringen ikke ske med det samme, så afskær adgang til import-funktionen fra internettet, fx via firewall eller adgangsbegrænsning.
- Gennemgå serverens filsystem for uventede eller ændrede filer, særligt uden for imports-mappen.
- Tjek serverlogs for import-kald med mistænkelige stier, fx "../", i filnavnet.
- Skift adgangskoder og nøgler, hvis der er tegn på, at systemet allerede er kompromitteret.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på indbrud, eller hvis I er i tvivl om, hvordan opdateringen skal håndteres i jeres opsætning.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer knowns til version 0.30.0 med det samme, fordi sårbarheden kan udnyttes af enhver med netværksadgang uden login. Kan I ikke opdatere i dag, bør I straks blokere adgang til importfunktionen udefra. Det er kun forsvarligt at vente, hvis import-funktionen allerede er fuldstændig utilgængelig fra internettet og kun kan tilgås fra et betroet internt netværk.
Tidslinje
Konkrete eksempler
Overskrivning af konfigurationsfil hos en produktionsvirksomhed
En dansk produktionsvirksomhed bruger knowns til at importere leverandørdata via en webformular, der er tilgængelig fra internettet. En angriber sender et importkald med et filnavn, der indeholder traversal-sekvenser, og overskriver en central konfigurationsfil på serveren. Systemet holder op med at virke, og it-afdelingen bruger en hel arbejdsdag på at genoprette drift fra backup.
Ofte stillede spørgsmål
Hvordan ved vi, om vores knowns-installation er sårbar?
Tjek den installerede version. Er den lavere end 0.30.0, er systemet sårbart, og I bør opdatere.
Kan vi vente til weekenden med at opdatere?
Nej, fordi sårbarheden kan udnyttes uden login direkte fra internettet. Det er kun i orden at vente, hvis import-funktionen allerede er isoleret fra internettet.
Er vi ramt, hvis vi ikke selv har brugt importfunktionen for nylig?
Ja. Sårbarheden ligger i selve import-funktionen, ikke i om den har været brugt for nylig. Er funktionen tilgængelig, er systemet sårbart uanset aktivitet.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Se efter uventede eller ændrede filer uden for imports-mappen, og gennemgå serverlogs for import-kald med "../" i filnavnet.
Skal vi anmelde hændelsen, hvis vi finder spor af udnyttelse?
Er der sket brud på persondata eller driftskritiske systemer, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer og eventuelt kontakte CFCS eller politiet afhængigt af omfanget.
Hvad koster det at vente med opdateringen?
Sårbarheden kan lede til fuld overtagelse af serveren, fordi en angriber kan overskrive systemfiler eller kode. Prisen for at vente er risikoen for driftsstop og datatab.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
knowns before 0.30.0 fails to validate import names in the import routes, allowing unauthenticated attackers to write files outside the imports directory. Attackers can supply traversal sequences in the name parameter to escape the imports directory and overwrite arbitrary files writable by the server process.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.