CVE-2026-42357: Rettighedsfejl i Apache DolphinScheduler
Fejl i rettighedstjek i Apache DolphinScheduler lader logget-ind brugere se workflow-data fra projekter, de ikke har adgang til. Opdatér til 3.4.2.
Hvad er det?
Apache DolphinScheduler er et system til at planlægge og styre databehandlingsflows, ofte kaldet workflows, hvor virksomheder automatiserer opgaver som dataindlæsning og rapportering. Fejlen (CVE-2026-42357) skyldes en mangelfuld rettighedskontrol, hvor systemet ikke tjekker godt nok, om en bruger faktisk har adgang til et projekt. En bruger, der er logget ind, kan derfor se oplysninger om workflow-kørsler i projekter, vedkommende ikke er tilknyttet. Fejlen ligger i selve rettighedsmodellen og kræver ingen særlig teknisk indsats at udnytte, blot en gyldig brugerkonto på systemet.
Hvem rammer det?
Det rammer virksomheder og kommuner, der kører Apache DolphinScheduler i en version ældre end 3.4.2 til at styre data-workflows. Særligt organisationer med flere afdelinger, kunder eller projekter samlet i én DolphinScheduler-installation er udsatte, fordi adskillelsen mellem projekter netop er det, fejlen bryder. Det gælder både interne it-afdelinger og leverandører, der driver dataplatforme for flere kunder på samme installation.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med en almindelig brugerkonto kan se detaljer om workflow-kørsler i andre projekter, som vedkommende ikke burde have adgang til. Det kan afsløre forretningslogik, databaseforbindelser, filstier eller andre driftsdetaljer, som er tænkt som fortrolige mellem afdelinger eller kunder. Fejlen giver ikke mulighed for at ændre data eller stoppe systemet, men den kan afsløre oplysninger, der bruges til at planlægge et videre angreb, eller som i sig selv er forretningskritiske.
Hvor alvorligt er det?
CVSS-scoren er 6,5 ud af 10, moderat risiko. Angrebet kræver, at man allerede har en lav-privilegeret konto på systemet, men ingen handling fra andre brugere og ingen særlig kompleksitet. Kun fortrolighed er påvirket, altså at uvedkommende kan læse data. Der er ikke risiko for, at data ændres eller systemet går ned. Der er ingen oplysninger om, at fejlen aktivt udnyttes, men rettighedsfejl som denne er lette at afprøve, når man først har en konto.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer:
- Opdatér Apache DolphinScheduler til version 3.4.2 eller nyere, hvor rettighedskontrollen er rettet.
- Gennemgå, hvilke brugere har konti på systemet, og fjern konti, der ikke længere er i brug.
- Tjek logfiler for adgang til workflow-instanser i projekter, som brugeren normalt ikke arbejder med.
- Begræns netværksadgang til DolphinScheduler-brugerfladen, så den kun kan nås fra betroede netværk eller via VPN.
- Overvej at adskille kunder eller afdelinger i separate installationer, hvis I driver DolphinScheduler for flere kunder.
- Kontakt os, hvis I ikke selv kan gennemføre opdateringen, eller hvis I finder tegn på, at data allerede er set af uvedkommende.
Opdatér inden for 30 dage
Vi anbefaler, at I opdaterer til Apache DolphinScheduler 3.4.2 som en del af jeres normale opdateringscyklus, da fejlen kun giver adgang til at læse data og ikke er kendt udnyttet. I kan vente med opdateringen til jeres næste planlagte vindue, men bør i mellemtiden tjekke, om systemet har flere projekter eller kunder samlet, hvor fejlen kan have praktisk betydning. Har I allerede tegn på uautoriseret adgang til workflow-data, bør opdateringen fremskyndes.
Tidslinje
Konkrete eksempler
Delt dataplatform i en kommune
En kommune bruger Apache DolphinScheduler til at styre databehandling for flere forvaltninger på samme installation. En medarbejder fra en forvaltning logger ind og kan ved fejlen se workflow-detaljer fra en anden forvaltnings projekt, herunder oplysninger om, hvilke systemer og datakilder der bruges. Oplysningerne bruges ikke direkte til noget skadeligt, men afslører interne systemsammenhænge, som burde have været adskilt mellem forvaltningerne.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Apache DolphinScheduler i en version ældre end 3.4.2. Tjek versionsnummeret i jeres installation eller spørg den, der drifter platformen.
Kan angriberen komme ind uden en konto?
Nej. Fejlen kræver, at man allerede har en gyldig brugerkonto på systemet med lave rettigheder. Det er altså en risiko internt eller hos en samarbejdspartner med adgang, ikke en helt udenforstående.
Kan vi vente til weekenden eller næste patchvindue?
Ja, i de fleste tilfælde. Da sårbarheden ikke er kendt udnyttet og kun giver adgang til at læse data, kan opdateringen normalt vente til jeres næste planlagte vedligeholdelsesvindue, dog senest 30 dage.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Gennemgå adgangslogs for DolphinScheduler for opslag på workflow-instanser i projekter, brugeren ikke normalt arbejder med. Usædvanlig aktivitet på tværs af projekter er et tegn på misbrug.
Skal vi anmelde dette som en sikkerhedshændelse?
Kun hvis I finder konkrete tegn på, at fortrolige data faktisk er set af uvedkommende. Er der tale om personoplysninger, skal I vurdere, om det udløser anmeldelsespligt efter databeskyttelsesreglerne.
Rammer fejlen også ældre versioner end det, der er nævnt?
Ja, alle versioner før 3.4.2 er berørt. Der er ikke oplyst en specifik lavere grænse, så alle produktionsmiljøer bør opdateres uanset hvor gammel den nuværende version er.
Ramte produkter
Apache: Dolphinscheduler
< 3.4.2
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Incorrect Authorization vulnerability allows users to access workflow instance information belonging to projects they do not have permission to access.
This issue affects Apache DolphinScheduler versions prior to 3.4.2.
Users are recommended to upgrade to version 3.4.2, which fixes this issue.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.