CVE-2026-41608: Data-amplifikation i Apache Thrift Python

CVE-2026-41608 er en fejl i Apache Thrift, et framework der bruges til at lade forskellige systemer og programmeringssprog kommunikere med hinanden over netværk. Fejlen ligger i Python-bindingerne, altså den del af Thrift der lader Python-programmer bruge frameworket. Problemet er, at Thrift ikke håndterer stærkt komprimerede data korrekt. En komprimeringsbombe er en lille datamængde, der udpakkes til et enormt stort resultat og dermed dræner hukommelse eller CPU. En angriber kan sende sådan en pakke til en Thrift-tjeneste og få den til at bruge alle sine ressourcer på at udpakke data, i stedet for at svare på rigtige forespørgsler.

Det rammer virksomheder og kommuner, der har egenudviklede systemer eller tredjepartssystemer bygget med Apache Thrift Python-bindinger i version før 0.24.0. Det er typisk backend-tjenester, microservices eller interne API’er, der bruger Thrift til at kommunikere mellem systemer. Hvis I ikke selv bruger Apache Thrift direkte, kan en leverandør eller et system I køber ind, gøre det alligevel, så det er relevant at spørge leverandøren.

En angriber uden login kan sende en ondsindet, komprimeret pakke til en Thrift-tjeneste over netværket. Tjenesten bruger sine ressourcer på at udpakke pakken og bliver derfor langsom eller går helt ned. I praksis betyder det, at den service, der er bygget på Thrift, stopper med at svare, hvilket kan lamme et internt system eller en integration mellem to systemer, indtil tjenesten genstartes.

CVSS-scoren er 7,5 ud af 10, alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen er alene tilgængelighed, det vil sige at tjenesten kan blive utilgængelig (denial of service). Der er ikke risiko for at data bliver læst eller ændret. Der er ingen oplysninger om, at fejlen aktivt bliver udnyttet i praksis pr. offentliggørelsesdatoen, men fejlen er offentligt kendt og relativt simpel at afprøve.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Apache Thrift Python-bindinger til version 0.24.0 eller nyere. Det lukker selve fejlen.
2. Find alle systemer og tjenester, der bruger Thrift-Python, herunder egenudviklede løsninger og systemer fra leverandører.
3. Indtil opdateringen er rullet ud, kan I begrænse eksponering ved at afskærme Thrift-tjenester fra internettet og kun tillade adgang fra betroede netværk.
4. Overvåg tjenesternes ressourceforbrug, så uventede stigninger i CPU eller hukommelse opdages hurtigt.
5. Spørg leverandører af systemer, I ikke selv har udviklet, om de bruger Apache Thrift, og om de har opdateret.
6. Kontakt Auroa eller en anden it-sikkerhedspartner, hvis I ikke selv kan afgøre, om jeres systemer er ramt, eller hvis opdateringen kræver ændringer i egen kode.