CVE-2026-48144: Kritisk fejl i Apache Thrift – opgrader nu

Apache Thrift er et udviklingsværktøj (et såkaldt framework), som mange it-systemer bruger til at lade programmer snakke sikkert sammen over netværket. Fejlen ligger i, at softwaren ikke tjekker ordentligt, om det sikkerhedscertifikat (et digitalt ID-kort), en server præsenterer, faktisk hører til den rigtige server. Det svarer til, at en dørmand accepterer et pas uden at kontrollere, om billedet matcher personen foran ham. En angriber kan udnytte dette til at udgive sig for at være en betroet server og dermed aflytte eller ændre data, der sendes frem og tilbage.

Sårbarheden rammer virksomheder og udviklere, der bruger Apache Thrift i version under 0.24.0 – specifikt den del af softwaren der kaldes c_glib bindings. Er din virksomhed afhængig af systemer eller applikationer, som er bygget oven på Apache Thrift, kan du være berørt. Det gælder især:

• Virksomheder med egne udviklede it-systemer der bruger Apache Thrift som kommunikationslag
• Virksomheder der anvender software fra leverandører, som benytter Apache Thrift internt
• Organisationer med mikroservice-arkitektur (mange små it-tjenester der kommunikerer med hinanden)

Hvis en angriber udnytter fejlen, kan følgende ske:

• Aflytning af fortrolige data: Angriberen kan placere sig imellem to systemer og læse data, der normalt er krypteret og beskyttet – fx kundeoplysninger, adgangskoder eller forretningskritisk information.
• Manipulation af data: Angriberen kan ændre de beskeder, der sendes mellem systemerne, uden at nogen opdager det.
• Identitetsforfalskning: Et ondsindet system kan udgive sig for at være en betroet server og dermed narre dit system til at sende følsomme oplysninger det forkerte sted hen.

Bemærk: Selve systemets tilgængelighed (om det kører eller ej) påvirkes ikke direkte af denne sårbarhed.

Sårbarheden er vurderet til 9.1 ud af 10 (Kritisk) af det internationale sikkerhedssystem CVSS. Det er en meget høj score, og det skyldes:

• Ingen adgangskode eller login kræves: Angriberen behøver ingen særlige rettigheder for at udnytte fejlen.
• Angreb kan ske over internettet: Det kræver ikke fysisk adgang til dit netværk.
• Lav teknisk sværhedsgrad: Fejlen er ikke svær at udnytte for en erfaren angriber.
• Høj påvirkning på fortrolighed og integritet: Både dine data og din tillid til systemerne kan kompromitteres.

Følg disse trin så hurtigt som muligt for at beskytte din virksomhed:

1. Find ud af, om du er berørt: Spørg din it-ansvarlige eller leverandør, om jeres systemer bruger Apache Thrift, og i så fald hvilken version.
2. Opgrader til Apache Thrift 0.24.0: Dette er den officielle rettelse fra Apache. Din it-leverandør kan hjælpe med at gennemføre opdateringen.
3. Kontakt dine software-leverandører: Hvis du bruger tredjepartssoftware, der bygger på Apache Thrift, skal du høre leverandøren, om de har udsendt en opdateret version.
4. Overvåg netværkstrafikken: Bed din it-afdeling om at tjekke for usædvanlig trafik eller ukendte forbindelser i perioden, indtil opdateringen er på plads.
5. Dokumentér hvad du gør: Notér hvornår du opdager problemet, og hvornår det er løst – dette kan være vigtigt i forhold til GDPR-krav om håndtering af sikkerhedshændelser.