CVE-2026-90945: Kritisk JWT-fejl i Crawlab

Crawlab er et open source-værktøj til at styre distribuerede webcrawlere, altså programmer der automatisk henter data fra hjemmesider. CVE-2026-90945 er en fejl i Crawlab op til og med version 0.6.3, hvor systemet bruger en fast, indbygget hemmelig nøgle til at signere JWT-tokens. Et JWT-token er en digital adgangsbillet, som systemet bruger til at bekræfte, at en bruger er logget ind. Fordi nøglen er skrevet direkte i kildekoden og ikke kan ændres via konfiguration eller miljøvariabler, er den samme i alle installationer og kan findes af alle, der kan læse koden. En angriber, der kender nøglen, kan derfor selv lave en gyldig administrator-billet uden at logge ind.

Det rammer alle virksomheder og kommuner, der selv driver en Crawlab-installation i version 0.6.3 eller ældre. Det gælder typisk marketingafdelinger, dataanalyseteams eller udviklingsmiljøer, der bruger Crawlab til at hente og overvåge data fra hjemmesider. Risikoen er størst, hvis administrationsgrænsefladen eller API’et er tilgængeligt fra internettet eller fra et bredt internt netværk uden begrænsninger.

En angriber kan uden brugernavn eller adgangskode lave et gyldigt administrator-token og få fuld adgang til Crawlabs administrations-API. Herfra kan angriberen afvikle kode på de såkaldte worker-noder, som er de servere, der udfører selve dataindsamlingen. I praksis betyder det, at angriberen kan overtage disse servere, læse eller ændre data, og bruge dem som springbræt videre ind i jeres netværk.

Sårbarheden har en CVSS-score på 9,8 ud af 10, som er kritisk. Den kræver ingen adgangskode, ingen login og ingen handling fra en bruger, og kan udnyttes over netværket med lav teknisk kompleksitet. Alle tre grundværdier for sikkerhed, fortrolighed, integritet og tilgængelighed, er ramt i højeste grad. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb, men fordi den hemmelige nøgle ligger i den offentligt tilgængelige kildekode, kræver udnyttelse ikke avanceret arbejde fra en angriber.

Følg punkterne i denne rækkefølge, da der ikke findes en officiel rettelse på tidspunktet for offentliggørelsen:

1. Afskær Crawlabs administrationsgrænseflade og API fra internettet. Adgang bør kun ske fra et betroet internt netværk eller via VPN.
2. Undersøg, om der findes en nyere version af Crawlab, hvor nøglen kan konfigureres eller er fjernet, og opgradér til den, hvis den findes.
3. Sæt en firewall-regel op, der kun tillader adgang fra kendte IP-adresser, hvis I ikke kan lukke systemet helt af fra internettet.
4. Gennemgå logfiler for administrationshandlinger, I ikke selv har foretaget, og skift adgangskoder til tilknyttede tjenester.
5. Overvej om Crawlab kan udskiftes med et alternativ, hvis producenten ikke leverer en rettelse inden for rimelig tid.
6. Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvor jeres Crawlab-installation er tilgængelig fra, eller om I allerede er blevet ramt.