CVE-2026-86543: Kritisk hul i Knowns’ styringsAPI
Knowns før version 0.30.0 udstiller sin styringsAPI uden login og kan tvinges til at blive offentlig. Opdatér til 0.30.0 eller nyere.
Hvad er det?
CVE-2026-86543 er en sårbarhed i styringssystemet Knowns, der gør det muligt at tilgå det administrative programmeringsgrænseflade, kaldet API, uden at logge ind. I alle versioner før 0.30.0 lytter API’et på alle netværksinterfaces uden krav om adgangskode ved en frisk installation. Sårbarheden er klassificeret som CWE-306, mangelfuld autentificering af en kritisk funktion. En angriber kan kalde endpointet /api/tunnel/start, som opretter en offentlig tunnel og dermed republicerer det interne API på en adresse, der kan nås fra internettet, selv hvis systemet oprindeligt kun var tiltænkt det lokale netværk.
Hvem rammer det?
Sårbarheden rammer alle organisationer, der har installeret Knowns til styring af egne servere eller netværksudstyr, og som endnu ikke har opdateret til version 0.30.0 eller nyere. Det gælder både virksomheder, der har sat Knowns op på et internt netværk uden ekstra firewall-regler, og dem, der har eksponeret administrationsporten direkte mod internettet. Danske SMV’er og kommuner, der bruger Knowns som del af deres it-drift eller til fjernstyring af teknisk udstyr, bør undersøge deres opsætning.
Hvad kan ske?
En angriber uden loginoplysninger kan sende en enkelt forespørgsel til /api/tunnel/start og dermed åbne en offentlig tunnel til det administrative API. Herefter kan angriberen læse, ændre og slette konfiguration, oprette nye brugere med fuld adgang eller lukke systemet helt ned. I praksis giver det fuld kontrol over den server eller det udstyr, Knowns styrer, hvilket kan bruges til dataudtræk, sabotage eller som adgangspunkt til resten af netværket.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10 og er vurderet kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ikke rapporteret aktiv udnyttelse af sårbarheden endnu, men den lave kompleksitet og det fraværende krav om godkendelse gør den attraktiv for automatiserede scanninger, der leder efter åbne administrationsporte.
Hvad gør jeg nu?
Sådan lukker I hullet og reducerer risikoen:
- Opdatér Knowns til version 0.30.0 eller nyere, hvor styringsAPI’et kræver godkendelse som standard.
- Indtil opdateringen er gennemført, skal administrationsporten spærres for adgang fra internettet med en firewallregel, der kun tillader betroede interne IP-adresser.
- Gennemgå logfiler for kald til /api/tunnel/start for at se, om endpointet allerede er blevet tilgået udefra.
- Skift adgangskoder og gennemgå brugerlisten i Knowns efter opdateringen, hvis I finder tegn på uautoriseret adgang.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I finder spor af misbrug eller er i tvivl om, hvordan opdateringen påvirker jeres drift.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Knowns til version 0.30.0 eller nyere så hurtigt som muligt, da sårbarheden kan udnyttes af en angriber uden login og uden brugerinteraktion. Er en øjeblikkelig opdatering ikke mulig, skal administrationsporten spærres for adgang fra internettet, mens I planlægger opdateringen. Det er kun i orden at vente, hvis systemet allerede er isoleret fra internettet med streng adgangskontrol på det interne netværk.
Tidslinje
Konkrete eksempler
Ubevidst offentliggjort administration
En dansk SMV installerer Knowns for at fjernstyre en række netværksenheder og glemmer at konfigurere firewallen efter standardinstallationen. En angriber, der scanner internettet for åbne administrationsporte, finder systemet og kalder /api/tunnel/start uden at logge ind. Herefter har angriberen fuld adgang til styringsAPI’et og kan ændre konfiguration eller oprette egne brugere, uden at nogen i virksomheden bemærker det før dage senere.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-86543?
I er ramt, hvis I kører Knowns i en version ældre end 0.30.0. Tjek versionen i administrationspanelet eller i konfigurationsfilen, og opdatér, hvis den er lavere end 0.30.0.
Hvordan tjekker vi, om systemet allerede er udnyttet?
Gennemgå adgangslogfiler for kald til /api/tunnel/start fra ukendte IP-adresser. Se også efter uventede tunnel-forbindelser eller nye brugerkonti, som I ikke selv har oprettet.
Kan vi vente til weekenden med at opdatere?
Nej, ikke hvis administrationsporten er tilgængelig fra internettet eller et bredt internt netværk. Sårbarheden kræver ingen login og kan findes af automatiserede scanninger inden for kort tid.
Skal vi anmelde sårbarheden eller et eventuelt angreb?
Har I fundet tegn på uautoriseret adgang, og er persondata eller kritisk infrastruktur involveret, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Datatilsynet eller CFCS.
Er der en midlertidig løsning, hvis vi ikke kan opdatere nu?
Spær administrationsporten med en firewallregel, så kun betroede interne adresser kan tilgå den, indtil opdateringen er gennemført. Det fjerner ikke sårbarheden, men reducerer angrebsfladen markant.
Påvirker opdateringen vores eksisterende opsætning?
Opdateringen kræver godkendelse på styringsAPI’et som standard, så I skal sætte adgangskode eller brugerkonti op, hvis det ikke allerede er gjort. Test opdateringen i et testmiljø, hvis systemet er forretningskritisk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
knowns versions before 0.30.0 serve the management API without authentication on all network interfaces by default, with no password required on fresh installations. Attackers can access the unauthenticated /api/tunnel/start endpoint to provision a public tunnel and republish the API at a publicly accessible address.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.