CVE-2026-88899: Kritisk sårbarhed i Knowns før 0.31.0
Knowns før version 0.31.0 lader angribere manipulere filer uden for projektmappen via en forfalsket HTTP-header. Opdatér til 0.31.0.
Hvad er det?
Sårbarheden sidder i endepunktet /api/opencode i værktøjet Knowns, som er den adresse, systemet lytter på for at modtage kommandoer. Systemet læser en HTTP-header kaldet x-opencode-directory, som angiver, hvilken mappe en filoperation skal udføres i. Før version 0.31.0 tjekker Knowns ikke, om den angivne mappe faktisk ligger inden for projektets egen mappe. Det gør det muligt at sende en sti som ../../etc og dermed få systemet til at læse, skrive eller slette filer helt uden for det tiltænkte projektområde. Fejltypen kaldes directory traversal, altså at man bevæger sig ud af en mappe, man skulle være låst inde i.
Hvem rammer det?
Det rammer virksomheder, der kører Knowns i version 0.31.0 eller tidligere, og hvor endepunktet /api/opencode er tilgængeligt over netværket, herunder internetvendte installationer. Det gælder typisk udviklingsteams, der bruger Knowns som internt værktøj på en server eller i en container, hvor porten ikke er begrænset til et internt netværk.
Hvad kan ske?
En angriber kan uden login læse filer med adgangskoder, adgangsnøgler eller konfigurationsdata på serveren. Angriberen kan også skrive eller slette filer uden for projektet, hvilket kan bruges til at plante skadelig kode eller til at ødelægge driften. I praksis kan det ende med, at et internt udviklingsværktøj bliver indgangen til hele serveren.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode og ingen handling fra en bruger. Det kan udføres over netværket med en enkelt forfalsket forespørgsel, og det påvirker fortrolighed, integritet og tilgængelighed i højeste grad. Der er ikke oplyst om aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen, men fejltypen er velkendt og forholdsvis let at angribe, når man kender endepunktet.
Hvad gør jeg nu?
Første skridt lukker hullet. Resten begrænser skaden, hvis systemet allerede har været eksponeret.
- Opdatér Knowns til version 0.31.0 eller nyere på alle installationer.
- Gennemgå, om /api/opencode har været tilgængeligt fra internettet, og begræns adgangen til et internt netværk eller en VPN, mens I planlægger opdateringen.
- Tjek server- og adgangslogfiler for forespørgsler med header x-opencode-directory, der indeholder stier som ../ eller absolutte stier.
- Udskift adgangskoder, tokens og nøgler, der lå i eller nær projektmappen, hvis I finder tegn på misbrug.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I finder spor af misbrug, eller hvis I ikke kan opdatere med det samme.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Knowns til version 0.31.0 eller nyere hurtigst muligt, da sårbarheden kræver hverken login eller brugerhandling og kan udnyttes fuldt automatisk. Er endepunktet /api/opencode kun tilgængeligt internt og ikke fra internettet, kan I vente til jeres næste planlagte opdateringsvindue, men vi vil stadig prioritere det højt. Er systemet eksponeret på internettet, bør opdateringen ske samme dag, den bliver kendt.
Tidslinje
Konkrete eksempler
Internt udviklingsværktøj eksponeret på internettet
Et dansk softwarehus kører Knowns på en server, som ved en fejl har porten åben mod internettet i stedet for kun internt netværk. En angriber finder endepunktet, sender en forespørgsel med en manipuleret x-opencode-directory-header og læser en konfigurationsfil med adgangsnøgler til virksomhedens skymiljø. Nøglerne bruges derefter til at få adgang til yderligere systemer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Knowns i en version før 0.31.0, og endepunktet /api/opencode er tilgængeligt, uanset om det er internt eller fra internettet. Tjek jeres version med det samme.
Hvordan tjekker vi, om vi er blevet udnyttet?
Gennemgå server- og webserverlogfiler for forespørgsler til /api/opencode med headeren x-opencode-directory, hvor værdien indeholder ../ eller en absolut sti uden for projektmappen.
Kan vi vente til weekenden med at opdatere?
Hvis systemet kun er tilgængeligt på jeres interne netværk, kan I vente kort tid, men vi anbefaler ikke at vente længere end nødvendigt. Er systemet tilgængeligt fra internettet, bør I opdatere samme dag.
Skal vi anmelde noget til myndighederne?
Kun hvis I finder konkrete tegn på, at data er blevet stjålet eller ændret. I så fald kan det være en anmeldelsespligtig sikkerhedshændelse eller et databrud, og I bør vurdere det med jeres databeskyttelsesrådgiver.
Er der en midlertidig løsning, hvis vi ikke kan opdatere nu?
Ja, I kan begrænse adgangen til /api/opencode til et internt netværk eller en VPN, mens I planlægger opdateringen. Det er ikke en permanent løsning, men det reducerer risikoen betydeligt.
Hvor mange af vores systemer skal vi kigge på?
Alle steder, hvor Knowns er installeret eller kører i en container, skal tjekkes for version og netværksadgang, herunder test- og udviklingsmiljøer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
knowns versions before 0.31.0 fail to properly validate the x-opencode-directory request header in the /api/opencode proxy endpoint. Remote attackers can supply arbitrary directory paths to execute file operations outside the project root on the host system.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.