Windmill-hull utnyttes aktivt: uautentisert path traversal leser filer på serveren

«Vi har observert utnyttelse rettet mot både direkte Windmill-endepunkter og Nextcloud-proxy-stien», skriver Caitlin Condon, VP for sikkerhetsforskning i VulnCheck. Sårbarheten det gjelder, CVE-2026-29059 med CVSS-score 7.5, er en uautentisert path traversal i Windmills get_log_file-endepunkt, og den er nå under aktiv utnyttelse i naturen ifølge VulnCheck.

Feilen er at filename-parameteren settes sammen til en filsti uten sanitering, så en angriper kan lese vilkårlige filer på serveren med ../-sekvenser. Ifølge Windmills egen rådgivning er den mest sensitive verdien miljøvariabelen SUPERADMIN_SECRET, lesbar via /proc/1/environ. Er den satt, kan hemmeligheten brukes som Bearer-token for å autentisere som superadmin og kjøre vilkårlig kode via job preview-API-et.

Nyansen er at SUPERADMIN_SECRET ikke er satt som standard. For frittstående Windmill-instanser uten den konfigurert er konsekvensen begrenset til lesing av vilkårlige filer, som i observerte angrep har vært rettet mot /etc/passwd. VulnCheck identifiserte rundt 170 sårbare systemer på tvers av 24 land. Hullet ble tettet i Windmill 1.603.3 med saneringssjekker på filename-parameteren.

Hva bør du gjøre?

1. Oppgrader til Windmill 1.603.3 eller nyere nå hvis du kjører en eksponert instans.
2. Sjekk logger for kall mot get_log_file med ../-sekvenser, og roter SUPERADMIN_SECRET hvis du har satt den og vært eksponert.