CVE-2026-32967: Fejl i Apache DolphinScheduler

Apache DolphinScheduler er en platform til at planlægge og styre dataarbejdsgange, blandt andet brugt til at automatisere databehandling og rapportering. CVE-2026-32967 er en fejl i adgangskontrollen, kaldet incorrect authorization, i den nye eksperimentelle grænseflade /v2. Fejlen betyder, at systemet ikke kontrollerer korrekt, om en bruger har ret til at se eller ændre data via denne grænseflade. En angriber kan derfor tilgå funktioner og oplysninger, som normalt kræver login og rettigheder, uden at have gyldige adgangsoplysninger. Fejlen ligger i selve autorisationslogikken og kan derfor ikke omgås ved almindelig adgangsstyring i firewall eller netværk alene.

Sårbarheden rammer alle installationer af Apache DolphinScheduler i version før 3.4.2, hvor den eksperimentelle /v2-grænseflade er aktiveret. Det gælder virksomheder og kommuner, der bruger DolphinScheduler til at styre databehandlingsflows, ETL-processer (indlæsning og bearbejdning af data) eller lignende automatiserede pipelines. Er /v2-grænsefladen tilgængelig fra internettet eller fra et bredere internt netværk, er risikoen størst.

En angriber uden login kan læse og ændre data i systemet, herunder konfigurationer, arbejdsgange og eventuelt følsomme oplysninger, som DolphinScheduler behandler. Sårbarheden giver ikke mulighed for at lukke systemet ned, men den kan give adgang til at manipulere data eller trække oplysninger ud, som kan bruges til videre angreb, for eksempel adgangsnøgler eller forbindelsesoplysninger til andre systemer.

CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ikke at en bruger klikker på noget, og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er høj fortrolighed og høj integritet, det vil sige at data kan læses og ændres, men systemet kan ikke bringes til at gå ned. Der er ikke oplysninger om, at fejlen aktivt udnyttes, men kombinationen af lav kompleksitet og ingen krav om rettigheder gør den let at misbruge, hvis den bliver opdaget.

Følgende trin lukker hullet og reducerer risikoen, mens I planlægger opdatering:

1. Opdatér Apache DolphinScheduler til version 3.4.2 eller nyere, hvor fejlen er rettet.
2. Kan opdatering ikke ske straks, så deaktivér eller afskærm den eksperimentelle /v2-grænseflade fra internettet og fra ubetroede interne net.
3. Gennemgå logs for uautoriseret adgang til /v2-endepunktet siden systemet blev sat i drift.
4. Skift adgangsnøgler og forbindelsesoplysninger, der er tilgængelige via DolphinScheduler, hvis I finder tegn på uautoriseret adgang.
5. Kontrollér, at netværksadgang til administrationsgrænseflader er begrænset til betroede IP-adresser.
6. Kontakt en sikkerhedsrådgiver, hvis I finder spor af misbrug, eller hvis I er i tvivl om, hvordan /v2-grænsefladen er eksponeret i jeres opsætning.