CVE-2026-43871: Fejl i Apache Thrift kan stoppe tjenester
Apache Thrift før version 0.24.0 kan sættes i en uendelig løkke af en angriber uden login. Opdatér til 0.24.0.
Hvad er det?
CVE-2026-43871 er en fejl i Apache Thrift, et framework der bruges til at få forskellige programmeringssprog til at tale sammen ved at serialisere data mellem tjenester. Fejlen er en uendelig løkke, en kode-sløjfe der aldrig når sin afslutningsbetingelse, i bibliotekets Python-, Go-, PHP- og Java-bindinger. En angriber kan sende data, der udløser løkken, og dermed få den ramte tjeneste til at hænge eller bruge al CPU-tid, uden at logge ind eller udføre andre handlinger.
Hvem rammer det?
Alle virksomheder og organisationer, der bruger Apache Thrift til at bygge eller drive interne API’er, mikroservices eller kommunikation mellem systemer, hvor koden er skrevet i Python, Go, PHP eller Java. Det gælder versioner før 0.24.0. Er Thrift indbygget i et tredjepartsprodukt, kan I være ramt, uden at det er synligt i jeres egen kodebase.
Hvad kan ske?
En angriber, der kan sende data til en tjeneste bygget med Apache Thrift, kan bringe tjenesten til at hænge eller forbruge al tilgængelig CPU-kraft. I praksis betyder det, at tjenesten stopper med at svare, og andre systemer, der er afhængige af den, går ned eller bliver langsomme. Der er ingen risiko for, at data læses eller ændres, men driften kan stå stille, indtil tjenesten genstartes.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, vurderet som alvorlig. Sårbarheden kan udnyttes over netværket uden login og uden at en bruger skal klikke på noget eller foretage sig andet. Angrebet kræver ingen særlig teknisk snilde, kompleksiteten er lav. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men da den er offentliggjort og let at udnytte, bør den prioriteres.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Apache Thrift til version 0.24.0 eller nyere i alle systemer, der bruger Python-, Go-, PHP- eller Java-bindingerne.
- Kortlæg, hvor Thrift bruges i jeres infrastruktur, herunder i tredjepartsprodukter og interne mikroservices.
- Indtil opdateringen er rullet ud, begræns netværksadgang til Thrift-tjenester, så kun betroede systemer kan sende data til dem.
- Overvåg CPU-forbrug og svartider på tjenester, der bruger Thrift, for at fange forsøg på udnyttelse.
- Test opdateringen i jeres udviklings- eller testmiljø, før den rulles ud i produktion.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har overblik over, hvor Thrift er i brug, eller hvis opdateringen kræver kodeændringer, I ikke har ressourcer til.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Apache Thrift til version 0.24.0, hvor fejlen er rettet, og at I kortlægger, hvilke tjenester der bruger biblioteket. Er Thrift-tjenesten ikke eksponeret på internettet og kun tilgængelig for betroede systemer internt, kan I vente til jeres næste planlagte opdateringsvindue. Er tjenesten tilgængelig fra internettet eller fra utroede netværk, bør opdateringen prioriteres inden for kort tid.
Tidslinje
Konkrete eksempler
Intern API-tjeneste går ned
En dansk produktionsvirksomhed bruger Apache Thrift til at forbinde sit lagersystem med en ekstern leverandørs bestillingssystem. En fejlbehæftet eller ondsindet forespørgsel fra leverandørens system sætter Thrift-tjenesten i en uendelig løkke, så lagersystemet holder op med at svare. Ordrer kan ikke afgives, før IT-afdelingen opdager og genstarter tjenesten.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-43871?
I er ramt, hvis jeres systemer bruger Apache Thrift i version ældre end 0.24.0 med Python-, Go-, PHP- eller Java-bindinger. Tjek jeres afhængighedslister eller spørg jeres udviklere, om Thrift er en del af jeres kodebase.
Hvordan tjekker vi, hvilken version af Apache Thrift vi bruger?
Se i jeres byggefiler eller pakkeliste, for eksempel requirements.txt for Python, go.mod for Go, composer.json for PHP eller pom.xml for Java. Versionsnummeret for Thrift-afhængigheden fortæller, om I er sårbare.
Kan vi vente til weekenden med at opdatere?
Er tjenesten kun tilgængelig internt for betroede systemer, kan I vente til næste planlagte opdateringsvindue. Er tjenesten tilgængelig fra internettet, bør I opdatere før weekenden.
Skal vi anmelde denne sårbarhed til myndighederne?
Der er ikke krav om anmeldelse af sårbarheden i sig selv. Har udnyttelse af sårbarheden ført til et konkret sikkerhedsbrud med driftsstop eller datatab, kan det være anmeldelsespligtigt efter NIS2 eller databeskyttelsesreglerne, afhængigt af jeres sektor.
Hvad koster det at vente med opdateringen?
Venter I, risikerer I, at en angriber kan lægge jeres Thrift-baserede tjeneste ned med et enkelt, ukompliceret angreb. Det kan give driftsstop, der spreder sig til andre systemer, der er afhængige af tjenesten.
Påvirker opdateringen vores data?
Nej, sårbarheden giver ikke adgang til at læse eller ændre data. Opdateringen retter kun den kodefejl, der forårsager den uendelige løkke.
Ramte produkter
Apache: Thrift
< 0.24.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Loop with Unreachable Exit Condition (‘Infinite Loop’) vulnerability in Apache Thrift Python, Go, PHP and Java bindings.This issue affects Apache Thrift: before 0.24.0.
Users are recommended to upgrade to version 0.24.0, which fixes the issue.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.