CVE-2026-92720: Kritisk adgangsfejl i Kubero op til 3.1.1
Kubero op til version 3.1.1 giver uautoriserede angribere adgang til webhook-hemmeligheder og notifikationsopsætninger. Opdatér nu.
Hvad er det?
CVE-2026-92720 er en fejl i Kubero, en platform til at køre applikationer på Kubernetes-klynger. Fejlen er klassificeret som CWE-306, hvilket betyder, at systemet mangler adgangskontrol på bestemte API-endepunkter, altså adresser i systemets programflade. Konkret gælder det notifikations-API’et, som håndterer webhooks og servicekonfigurationer. Enhver, der kan nå systemet via nettet, kan kalde disse endepunkter uden at logge ind og dermed læse eller ændre følsomme oplysninger.
Hvem rammer det?
Fejlen rammer virksomheder og kommuner, der kører Kubero i version 3.1.1 eller tidligere. Kubero bruges typisk af udviklingsafdelinger og driftsteams, der ønsker en selvhostet platform til at styre applikationsdrift på Kubernetes. Hvis jeres Kubero-installation er tilgængelig fra internettet eller fra et netværkssegment, som eksterne parter kan nå, er I i risikogruppen. Interne installationer bag stærk netværkssegmentering er mindre eksponerede, men stadig berørte af fejlen.
Hvad kan ske?
En angriber, der udnytter fejlen, kan hente webhook-hemmeligheder og de URL-adresser, som jeres systemer sender beskeder til. Med disse oplysninger kan angriberen lytte med på pipeline-hændelser, som f.eks. kodeændringer og deployments, registrere ondsindede webhooks, der modtager jeres interne notifikationer, eller slette eksisterende konfigurationer og dermed blokere jeres alarmberedskab. I praksis kan det betyde, at en angriber overvåger jeres udviklingsforløb eller skjuler sine egne handlinger ved at fjerne varsler.
Hvor alvorligt er det?
CVSS-scoren er 9.1, hvilket er kritisk. Angrebet kræver ingen forudgående login, ingen særlige rettigheder og ingen handling fra en bruger. Det kan udføres direkte over nettet med lav teknisk kompleksitet. Fortrolighed og integritet vurderes begge som høj risiko, mens tilgængelighed ikke direkte påvirkes. Der er på nuværende tidspunkt ikke offentliggjort aktiv udnyttelse i naturen, men den lave angrebskompleksitet gør, at det kan ske hurtigt efter offentliggørelsen.
Hvad gør jeg nu?
Gennemfør følgende trin i prioriteret rækkefølge for at lukke sårbarheden og begrænse risikoen:
- Opdatér Kubero til en version nyere end 3.1.1 så snart en opdatering er tilgængelig fra leverandøren.
- Begræns netværksadgang til Kubero-installationen via firewall eller netværkssegmentering, så kun autoriserede brugere og systemer kan nå API-endepunkterne.
- Gennemgå og rotatér alle webhook-hemmeligheder og service-URL-konfigurationer, da de kan være læst af uvedkommende allerede nu.
- Gennemgå logfiler for usædvanlige kald til notifikations-API’et fra ukendte IP-adresser, særligt i perioden op til i dag.
- Verificér, at jeres eksisterende notifikations- og alarmopsætning er intakt og ikke er blevet slettet eller ændret.
- Kontakt en ekstern sikkerhedskonsulent, hvis I ikke kan fastslå, om jeres installation har været udsat, eller hvis I mangler ressourcer til at gennemføre ovenstående trin inden for 24 timer.
Opdatér inden for 24 timer
Vi anbefaler, at I øjeblikkeligt begrænser netværksadgangen til Kubero, indtil en officiel opdatering foreligger. Rotér alle webhook-hemmeligheder som en sikkerhedsforanstaltning, uanset om I kan bekræfte et brud. Det er acceptabelt at afvente en leverandøropdatering i få dage, forudsat at I har afskåret ekstern netværksadgang til Kubero-installationen i mellemtiden. Kan I ikke hurtigt begrænse adgangen, bør I tage systemet midlertidigt ud af drift.
Tidslinje
Konkrete eksempler
Softwarevirksomhed mister kontrol over deployment-notifikationer
En dansk softwarevirksomhed kører Kubero på en Kubernetes-klynge og bruger webhooks til at sende notifikationer til deres Slack-kanal og overvågningssystem, hver gang kode deployes til produktion. En angriber finder den eksponerede installation og henter webhook-hemmeligheder og URL-adresser via det ubeskyttede API. Angriberen sletter virksomhedens alarmopsætning og registrerer en egenkontrolleret webhook, så fremtidige deployment-hændelser sendes til angribers egne systemer i stedet for virksomhedens. Virksomheden opdager ikke bruddet, fordi alarmerne er fjernet.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vi kører en sårbar version af Kubero?
Log ind på jeres Kubero-installation og tjek versionsnummeret i brugergrænsefladen eller via systemets API. Kører I version 3.1.1 eller tidligere, er I berørt af fejlen.
Er vi i fare, hvis Kubero kun er tilgængeligt internt i vores netværk?
Risikoen er lavere, hvis installationen er isoleret bag stærk netværkssegmentering og ikke tilgængelig fra internettet. I er dog stadig berørt af fejlen, og interne trusler eller et kompromitteret internt system kan stadig udnytte den. Vi anbefaler, at I opdaterer, når en patch foreligger.
Kan vi vente med at handle til weekenden?
Ikke uden at afskære ekstern adgang først. Fejlen kræver ingen login og kan udnyttes af enhver, der kan nå installationen. Begræns netværksadgangen nu, og udfør den øvrige oprydning, herunder rotation af hemmeligheder og gennemgang af logs, inden weekenden er omme.
Skal vi anmelde dette til Datatilsynet?
Det afhænger af, om personoplysninger har været tilgængelige via de eksponerede endepunkter. Har jeres webhooks eller servicekonfigurationer indeholdt eller givet adgang til personoplysninger, skal I vurdere, om der er sket et brud efter databeskyttelsesforordningen, og i så fald anmelde inden for 72 timer. Kontakt jeres databeskyttelsesrådgiver eller en juridisk rådgiver ved tvivl.
Hvad gør vi, hvis vi ikke kan opdatere Kubero med det samme?
Begræns adgangen til Kubero via firewall-regler, så kun kendte og autoriserede IP-adresser kan nå API-endepunkterne. Rotér alle webhook-hemmeligheder og service-URL-konfigurationer, og overvåg aktivt for mistænkelig aktivitet i logfilerne, indtil en opdatering kan installeres.
Kan vi selv kontrollere, om nogen allerede har udnyttet fejlen?
Gennemgå adgangslogfiler for Kubero og se efter kald til notifikations-API-endepunkterne fra ukendte eller uventede IP-adresser. Tjek desuden, om eksisterende webhook-konfigurationer er blevet ændret eller slettet. Har I ikke centraliseret logning på plads, kan det være svært at fastslå med sikkerhed, og I bør overveje at inddrage ekstern hjælp.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Kubero through 3.1.1 fails to apply authentication guards to the notifications API endpoints, allowing unauthenticated attackers to read webhook secrets and service URLs. Attackers can retrieve stored credentials and register malicious webhooks to intercept pipeline events or suppress alerting by deleting existing configurations.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.