CVE-2026-45112: Alvorlig fejl i Apache Thrift Java

CVE-2026-45112 er en fejl i Apache Thrift, et populært værktøj til at få forskellige programmeringssprog til at kommunikere med hinanden over netværk. Fejlen sidder i Java-delen af biblioteket og betyder, at systemet ikke sætter grænser for, hvor mange ressourcer det bruger, når det modtager data. En angriber kan sende specielt udformede forespørgsler, der får serveren til at allokere hukommelse eller andre ressourcer ubegrænset, indtil tjenesten går ned. Det kræver ikke login og ingen handling fra en bruger, kun netværksadgang til den sårbare tjeneste.

Det rammer virksomheder og kommuner, der bruger Apache Thrift Java-biblioteker i version 0.19.0 til og med version 0.23.x, typisk i backend-systemer, mikroservices eller integrationer mellem fagsystemer. Ofte er Apache Thrift indbygget i tredjepartssoftware eller egenudviklede systemer, uden at it-afdelingen nødvendigvis er klar over det. Det er relevant at gennemgå softwareoversigter og afhængighedslister for Java-projekter.

En angriber kan sende gentagne, specielt konstruerede forespørgsler mod en sårbar Thrift-tjeneste og dermed få den til at bruge al ledig hukommelse eller CPU, så tjenesten går ned eller stopper med at svare. For en dansk virksomhed betyder det driftsstop på det system, der bruger Thrift, for eksempel en integration mellem et fagsystem og en database. Der er ingen risiko for, at data bliver læst eller ændret, kun at tjenesten bliver utilgængelig.

CVSS-score er 7,5 ud af 10, alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er alene, at tjenesten bliver utilgængelig, altså et driftsstop. Der er ikke risiko for, at fortrolige data læses eller ændres. Der er ingen kendte tilfælde af, at fejlen er udnyttet i praksis endnu, men den er let at udnytte, hvis en sårbar tjeneste er tilgængelig fra internettet eller et internt netværk, en angriber har fået fodfæste i.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér Apache Thrift Java-biblioteket til version 0.24.0 eller nyere i alle systemer, der bruger det.
2. Kortlæg, hvilke af jeres systemer og integrationer der bruger Apache Thrift, og hvilken version, hvis I ikke allerede har en fuldstændig oversigt.
3. Begræns netværksadgangen til Thrift-tjenester, så de kun kan tilgås fra betroede systemer, indtil opdateringen er gennemført.
4. Overvåg driften af de pågældende systemer for uventet høj ressourceforbrug eller nedbrud, mens opdateringen planlægges.
5. Test opdateringen i et testmiljø, hvis Thrift indgår i forretningskritiske integrationer, før den rulles ud i produktion.
6. Kontakt en ekstern rådgiver, hvis I ikke selv kan afklare, om jeres systemer indeholder det sårbare bibliotek, eller hvis opdateringen kræver ændringer i tredjepartssoftware I ikke selv har kildekoden til.