CVE-2026-92717: Kritisk adgangsfejl i Covenant op til v0.6
Covenant op til version 0.6 giver uautoriserede brugere adgang til hele operatør-API’et. Opdatér eller luk adgangen nu.
Hvad er det?
Covenant er et open source kommando-og-kontrol-framework, der bruges til at styre penetrationstest og røde hold-øvelser. I version 0.6 og tidligere er et SignalR-endepunkt, et realtidskommunikationsinterface, registreret uden adgangskontrol. Det betyder, at enhver der kan nå serveren, kan kalde funktionen CreateHttpListener og modtage et gyldigt JWT-token, et digitalt adgangsbevis. Med dette token får angriberen fuld adgang til operatør-API’et uden at kende et brugernavn eller en adgangskode.
Hvem rammer det?
Fejlen rammer organisationer, der kører Covenant version 0.6 eller tidligere og har serveren tilgængelig over netværket. Det gælder typisk sikkerhedskonsulenter, røde hold og virksomheder, der selv hoster Covenant som del af interne sikkerhedsøvelser. Er Covenant eksponeret mod internettet eller et åbent internt netværk, er risikoen størst.
Hvad kan ske?
En angriber uden login kan hente et gyldigt adgangsbevis og derefter tilgå alle data i Covenant: agenter på kompromitterede maskiner, gemte legitimationsoplysninger som brugernavne og adgangskoder, eksekverbare filer, hændelseslogge og listen over operatører. Angriberen kan overtage igangværende øvelser, eksfiltrere følsomme testdata og potentielt misbruge de samme agenter til egne formål.
Hvor alvorligt er det?
CVSS-scoren er 9,1, hvilket placerer sårbarheden i den kritiske kategori. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Fortrolighed og integritet er begge markeret som høj risiko. Der er ikke kendskab til aktiv udnyttelse på nuværende tidspunkt, men sårbarheden er teknisk enkel at udnytte, og Covenant er et velkendt værktøj i sikkerhedsmiljøet.
Hvad gør jeg nu?
Udfør disse trin i prioriteret rækkefølge for at lukke hullet og vurdere skaden:
- Begræns eller luk netværksadgang til Covenant-serveren med det samme ved hjælp af firewall-regler, så kun autoriserede IP-adresser kan nå den.
- Tjek om en opdateret version af Covenant er tilgængelig, der retter fejlen, og opdatér hurtigst muligt.
- Gennemgå logfiler for uventede kald til
CovenantHubogCreateHttpListenerfor at afgøre, om nogen allerede har udnyttet fejlen. - Roter alle JWT-tokens, adgangskoder og legitimationsoplysninger, der har været tilgængelige i Covenant-instansen.
- Er der tegn på uautoriseret adgang, så kontakt jeres databeskyttelsesrådgiver og vurdér, om hændelsen skal anmeldes til Datatilsynet inden 72 timer.
- Har I ikke ressourcer til at håndtere hændelsen selv, så inddrag en ekstern sikkerhedskonsulent.
Luk netværksadgang inden for 24 timer
Vi anbefaler, at I øjeblikkeligt begrænser netværksadgangen til Covenant-serveren, så den ikke er tilgængelig for uvedkommende. Herefter bør I opdatere til en rettet version, så snart den er tilgængelig, og rotere alle legitimationsoplysninger, der har været eksponeret. Det er acceptabelt at vente med en fuld gennemgang til næste arbejdsdag, forudsat at netværksadgangen er lukket, og der ikke er tegn på aktiv udnyttelse.
Tidslinje
Konkrete eksempler
Sikkerhedskonsulent mister kontrol over rødt hold-øvelse
Et dansk sikkerhedsfirma kører en planlagt rødt hold-øvelse for en kunde og hoster Covenant på en server med adgang fra internettet. En tredjepart opdager serveren via en portscanning og kalder CreateHttpListener uden login. Med det udstedte token tilgår tredjeparten alle agenter og henter de legitimationsoplysninger, der er indsamlet under øvelsen, herunder testbrugere med adgang til kundens Active Directory. Øvelsen kompromitteres, og kundens testmiljø må lukkes ned.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version af Covenant?
Log ind på jeres Covenant-installation og tjek versionsnummeret i brugerfladen eller i
Covenant.csproj-filen i kildekoden. Er versionen 0.6 eller lavere, er I sårbare.Kan vi vente med at handle til weekenden?
Kun hvis I lukker netværksadgangen til Covenant-serveren nu. Er serveren tilgængelig fra internettet eller et bredt internt netværk uden adgangskontrol, bør I handle inden for timer, ikke dage.
Er vi forpligtede til at anmelde dette til Datatilsynet?
Det afhænger af, om personoplysninger har været tilgængelige for uvedkommende. Covenant indeholder typisk legitimationsoplysninger og testdata. Er der mistanke om uautoriseret adgang, skal I vurdere anmeldelsespligten inden 72 timer efter opdagelsen i henhold til GDPR-artikel 33.
Vi bruger Covenant til interne røde hold-øvelser. Er risikoen mindre for os?
Ikke nødvendigvis. Er Covenant-serveren tilgængelig på jeres interne netværk uden segmentering, kan en angriber, der allerede er inde i netværket, udnytte fejlen og overtage jeres øvelsesmiljø, herunder adgang til de maskiner, jeres agenter kører på.
Hvad er et JWT-token, og hvorfor er det farligt at andre kan få det?
Et JWT-token, en JSON Web Token, er et digitalt adgangsbevis, som systemet udsteder efter et vellykket login. I dette tilfælde kan enhver hente et sådant bevis uden at logge ind. Det svarer til, at en ubudgæst kan printe sin egen nøgle til bygningen og bruge den til at åbne alle døre.
Findes der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Ja. Den mest effektive midlertidige løsning er at begrænse adgangen til Covenant-serveren via firewall-regler, så kun kendte og autoriserede IP-adresser kan kommunikere med den. Det lukker ikke fejlen i koden, men forhindrer angribere uden for det tilladte netværk i at udnytte den.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Covenant through 0.6 registers the CovenantHub SignalR hub without an Authorize attribute, allowing unauthenticated callers to invoke CreateHttpListener and receive a signed JWT token. Attackers can use the obtained token to authenticate against the entire operator API and access grunts, credentials, binaries, events, and the operator roster.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.