CVE-2026-90558: Kritisk fejl i sngrep (SIP-værktøj)
Kritisk sikkerhedsfejl i sngrep lader angribere sende ondsindede SIP-pakker og køre vilkårlig kode. Begræns adgang og opdatér straks.
Hvad er det?
CVE-2026-90558 er en sårbarhed i sngrep, et værktøj til at fange og vise SIP-trafik, som bruges til fejlsøgning af IP-telefoni. Fejlen er et stack-bufferoverløb (CWE-121), hvor programmet ikke tjekker længden på visse SIP-headerfelter, før de kopieres ind i en fast reserveret hukommelsesblok på 255 byte. Sender en angriber en SIP-pakke med et unormalt langt Call-ID eller X-Call-ID felt, skriver programmet ud over den reserverede hukommelse. Det kan bruges til at få sngrep til at gå ned, eller i værste fald til at få programmet til at køre kode, som angriberen selv har bestemt.
Hvem rammer det?
Sårbarheden rammer alle, der kører sngrep i version 1.8.4 eller tidligere. Det gælder typisk teleselskaber, hostingudbydere og virksomheder med egen SIP-central eller VoIP-infrastruktur, hvor netværksteknikere bruger sngrep til at overvåge eller fejlsøge telefontrafik. Værktøjet kører ofte med udvidede rettigheder, fordi det skal have adgang til at aflytte netværkstrafik.
Hvad kan ske?
En angriber, der kan sende SIP-trafik til et netværk, hvor sngrep kører, kan udnytte fejlen til at få programmet til at gå ned, eller til at afvikle vilkårlig kode med de rettigheder, sngrep kører under. Da sngrep ofte kører med root-rettigheder for at kunne aflytte trafik, kan det i praksis betyde, at angriberen overtager hele den server, der overvåger telefonsystemet, og derfra får adgang videre ind i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen login (PR:N) og ingen handling fra en bruger (UI:N). Angriberen skal blot kunne sende en netværkspakke til det system, sngrep kører på (AV:N), og kompleksiteten er lav. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men den lave adgangsbarriere gør den attraktiv for angribere, når den bliver kendt.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge, så I lukker hullet hurtigst muligt og begrænser skaden, mens I venter på en løsning:
- Opdatér sngrep til en version nyere end 1.8.4, hvis der findes en rettet udgave fra projektet. Tjek projektets side for seneste version.
- Findes der ingen rettet version endnu, så stop midlertidigt med at køre sngrep mod netværk, I ikke selv har fuld kontrol over.
- Begræns netværksadgangen til de systemer, der kører sngrep, så kun betroede interne IP-adresser kan sende SIP-trafik til dem.
- Undgå at køre sngrep med root-rettigheder, eller kør det i en isoleret container med begrænsede rettigheder.
- Overvåg for uventede genstarter eller nedbrud af sngrep-processer, som kan være tegn på forsøg på udnyttelse.
- Har I ikke selv teknisk kapacitet til at vurdere jeres opsætning, bør I hente hjælp fra en sikkerhedspartner til at gennemgå netværkssegmenteringen omkring jeres SIP-infrastruktur.
Opdatér eller isolér inden for 7 dage
Vi anbefaler, at I straks begrænser netværksadgangen til systemer, der kører sngrep, og undersøger, om der findes en rettet version. Det er kun forsvarligt at vente, hvis systemet allerede er fuldt isoleret fra internettet og upålidelige interne netværk. Kører sngrep med root-rettigheder på en server, der er tilgængelig fra usikrede netværk, bør I stoppe brugen, indtil I har fået lukket hullet.
Tidslinje
Konkrete eksempler
Hostingvirksomhed med egen telefoncentral
En dansk hostingvirksomhed bruger sngrep til at overvåge SIP-trafik på deres telefoncentral, og værktøjet kører med root-rettigheder på en server, der er tilgængelig fra internettet af hensyn til fjernsupport. En angriber sender en SIP-pakke med et overdimensioneret Call-ID felt til centralen. Overløbet giver angriberen mulighed for at køre kode med root-rettigheder på serveren og dermed adgang til resten af netværket.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-90558?
I er ramt, hvis I kører sngrep i version 1.8.4 eller tidligere, og systemet kan modtage SIP-trafik fra netværk, I ikke fuldt ud kontrollerer. Tjek den installerede version med sngrep -v eller jeres pakkehåndtering.
Hvordan tjekker vi, hvilken version af sngrep vi bruger?
Kør kommandoen sngrep -v i terminalen på de servere, hvor værktøjet er installeret, eller tjek jeres pakkeliste via apt, yum eller lignende pakkehåndtering.
Kan vi vente med at opdatere til efter weekenden?
Det afhænger af, om systemet er eksponeret for netværk uden for jeres kontrol. Er sngrep kun tilgængeligt internt fra betroede systemer, kan I vente kort. Er det tilgængeligt fra internettet eller usikrede netværk, bør I lukke adgangen med det samme og ikke vente til weekenden.
Skal vi anmelde dette til myndighederne?
Der er ikke pligt til at anmelde selve sårbarheden. Fører udnyttelse til et sikkerhedsbrud med adgang til personoplysninger, kan I være forpligtet til at anmelde det til Datatilsynet efter reglerne om databeskyttelse.
Hvorfor har vi overhovedet sngrep installeret?
sngrep bruges typisk af netværksteknikere til at fejlsøge IP-telefoni og SIP-baseret kommunikation. Det er et almindeligt værktøj hos virksomheder med egen telefoncentral eller VoIP-løsning.
Kan angriberen ramme os, selv om vi ikke selv sender SIP-trafik ud?
Ja. Angriberen skal blot kunne sende en SIP-pakke til det system, hvor sngrep kører og aflytter trafik. Det kræver ikke, at I selv initierer nogen forbindelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
sngrep through 1.8.4 contains stack buffer overflow vulnerabilities in SIP attribute formatting routines when header values exceed the 255-byte buffer limit. Attackers can craft malicious SIP packets with oversized Call-ID, X-Call-ID, or other header fields to overflow stack buffers and cause crashes or execute arbitrary code during packet parsing and rendering.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.