CVE-2026-47340: Adgangsfejl i Apache DolphinScheduler

Apache DolphinScheduler er et open source-værktøj til at planlægge og overvåge dataopgaver (også kaldet workflow-automatisering). Systemet har en funktion kaldet ‘alert instances’ (advarselskonfigurationer), som bruges til at sende notifikationer, fx via e-mail eller Slack, når en opgave fejler.

Fejlen betyder, at en bruger, der er logget ind, kan tilgå advarselskonfigurationer tilknyttet grupper, som brugeren ikke har tilladelse til at se. Det er med andre ord en fejl i adgangsstyringen (hvem må se hvad), som giver uautoriseret adgang til interne systemoplysninger.

Fejlen rammer virksomheder og teams, der bruger Apache DolphinScheduler i en version ældre end 3.4.2 — typisk datateams, udviklingsafdelinger eller IT-afdelinger, der bruger platformen til at automatisere og overvåge datapipelines.

For at udnytte fejlen skal angriberen allerede have en brugerkonto i systemet. Det betyder, at truslen primært kommer indefra — fx en utilfreds medarbejder, en konsulent med begrænset adgang eller en konto der er blevet kompromitteret.

En bruger med lavt rettighedsniveau kan læse advarselskonfigurationer, de normalt ikke har adgang til. Det kan afsløre:

• Oplysninger om interne systemer og integrationer (fx API-nøgler eller webhooks gemt i advarselskonfigurationer)
• Organisationsstruktur og hvilke grupper der overvåger hvilke processer
• Potentielt følsomme kontaktoplysninger eller servicekonti

Data kan ikke ændres eller slettes via denne fejl — det er udelukkende en lækage af fortrolige oplysninger (fortrolighed påvirkes, men ikke integritet eller tilgængelighed).

Sårbarheden er vurderet til CVSS 6.5 (moderat). Den kræver, at angriberen allerede er logget ind, og den giver kun læseadgang — ikke mulighed for at ændre eller slette data. Det sænker alvorligheden sammenlignet med mere kritiske fejl.

Risikoen er dog reel, hvis systemet indeholder følsomme konfigurationer som API-nøgler eller credentials i advarselskonfigurationerne, eller hvis I har brugere med meget forskellige tilladelsesniveauer. Kombineret med andre angrebsteknikker kan informationen bruges til at eskalere et angreb.

Følg disse trin for at lukke hullet:

1. Tjek din version: Log ind i Apache DolphinScheduler og find versionsnummeret (typisk under ‘Om’ eller i systemindstillingerne). Er du på en version ældre end 3.4.2, er du sårbar.
2. Opdater til version 3.4.2: Download og installer den nyeste version fra Apache DolphinSchedulers officielle hjemmeside. Følg jeres normale opdateringsprocedure og tag backup inden opdatering.
3. Gennemgå brugerkonti: Sørg for, at kun de rette medarbejdere har aktive konti i systemet. Deaktiver konti for tidligere ansatte og konsulenter.
4. Tjek advarselskonfigurationer: Gennemgå om der er gemt følsomme oplysninger som adgangskoder eller API-nøgler direkte i advarselskonfigurationerne, og skift dem hvis det er tilfældet.
5. Overvåg adgangsloggen: Kig i systemets logs for at se, om der har været usædvanlig adgang til advarselskonfigurationer siden systemet blev taget i brug.