CVE-2026-32966: Kritisk fejl i Apache DolphinScheduler

Apache DolphinScheduler er et open source-værktøj til at planlægge og styre databehandlingsopgaver, kaldet workflow-orkestrering. CVE-2026-32966 er en fejl i systemets DataSource API, det programmeringsgrænsesnit der styrer adgangen til opsætninger for datakilder som databaser og filsystemer. Fejlen skyldes en manglende autorisationskontrol: systemet tjekker ikke, om den der spørger, faktisk har ret til at se oplysningerne. Det betyder, at enhver med netværksadgang til systemet kan hente metadata om alle konfigurerede datakilder, uden at logge ind først.

Sårbarheden rammer alle installationer af Apache DolphinScheduler i versioner før 3.4.2. Det gælder virksomheder og kommuner, der bruger platformen til at orkestrere dataflows, ETL-processer eller batch-jobs, typisk i data-teams, BI-afdelinger eller IT-drift. Er DolphinScheduler tilgængelig fra internettet eller fra et bredt internt netværk, er risikoen størst.

En angriber kan uden login hente metadata om jeres datakilder, herunder forbindelsesoplysninger, servernavne, portnumre og i nogle opsætninger adgangsoplysninger til databaser. Med den viden kan angriberen forsøge at koble sig direkte på jeres databaser eller bruge oplysningerne til at planlægge et videre angreb mod jeres systemer. For en dansk virksomhed kan det betyde adgang til kunde- eller medarbejderdata, hvis databaserne ikke er beskyttet med yderligere lag.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Det gør sårbarheden nem at udnytte for en angriber, der blot kan nå systemet. Der er ved offentliggørelsen ikke rapporteret aktiv udnyttelse, men fejlen er offentligt kendt, og en rettelse findes.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Apache DolphinScheduler til version 3.4.2 eller nyere. Det fjerner den manglende autorisationskontrol.
2. Kan I ikke opdatere med det samme, så afskærm DataSource API’et fra internettet og begræns adgang til betroede interne netværk via firewall.
3. Gennemgå adgangslogfiler for API’et for at se, om der har været unormale forespørgsler til datakilde-metadata.
4. Skift adgangskoder og forbindelsesoplysninger for de datakilder, der er konfigureret i DolphinScheduler, hvis I har mistanke om, at oplysningerne kan være set af uautoriserede.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om systemet har været eksponeret, eller hvis opgraderingen kræver ændringer i jeres data-pipelines, I ikke selv har ressourcer til at teste.