CVE-2026-47340: Informationslæk i Apache DolphinScheduler

CVE-2026-47340 er en fejl i rettighedsstyringen i Apache DolphinScheduler, et open source-værktøj til at planlægge og overvåge databehandlingsopgaver (workflows). Fejlen er en informationsafsløring, hvilket betyder at systemet viser data til brugere, som ikke burde have adgang til dem. Konkret kan en bruger, der allerede er logget ind, tilgå alarminstanser, altså de advarsler og notifikationer der hører til alarmgrupper, brugeren ikke er tilknyttet. Fejlen kræver ikke, at brugeren udfører nogen særlig handling ud over at være logget ind med en almindelig konto. Apache har rettet fejlen i version 3.4.2.

Fejlen rammer alle virksomheder og kommuner, der kører Apache DolphinScheduler i version ældre end 3.4.2. Det gælder typisk it-afdelinger, data engineering-teams og analyseteams, der bruger værktøjet til at planlægge og overvåge automatiserede databehandlingsopgaver, ETL-processer eller batch-jobs. Alle installationer med flere brugere og flere alarmgrupper er relevante, uanset om systemet driftes internt eller hos en leverandør.

En medarbejder eller ekstern samarbejdspartner med en almindelig brugerkonto kan se alarmindhold fra grupper, vedkommende ikke er medlem af. Det kan afsløre kontaktoplysninger på andre teams, detaljer om fejlede jobs, systemnavne eller andre driftsrelaterede oplysninger, som normalt er afgrænset til bestemte afdelinger. I en dansk virksomhed kan det for eksempel betyde, at en udviklerkonsulent med begrænset adgang alligevel kan følge med i alarmer fra produktionsmiljøet i en anden afdeling, hvilket bryder med adskillelsen mellem teams.

CVSS-score er 6,5 ud af 10, vurderet som moderat. Sårbarheden kræver, at angriberen allerede er logget ind med lave rettigheder, men kræver ingen yderligere brugerhandling og kan udnyttes over netværket med lav kompleksitet. Konsekvensen er begrænset til fortrolighed, altså at data kan læses, mens integritet og tilgængelighed ikke påvirkes. Der er ikke oplysninger om, at fejlen aktivt bliver udnyttet i praksis.

Sådan lukker I hullet og begrænser risikoen:

1. Opgradér Apache DolphinScheduler til version 3.4.2 eller nyere, hvor fejlen er rettet.
2. Gennemgå, hvilke brugere der har adgang til systemet, og fjern konti eller rettigheder, der ikke længere er nødvendige.
3. Kontrollér logs for usædvanlig adgang til alarminstanser, hvis systemet har været eksponeret over længere tid.
4. Vurdér om følsomme oplysninger i alarmgrupper bør begrænses yderligere, uafhængigt af opdateringen.
5. Er opgraderingen ikke mulig med det samme, så overvej at afgrænse netværksadgangen til systemet, indtil det kan gennemføres.
6. Kontakt en ekstern rådgiver, hvis I ikke har ressourcer til selv at vurdere rettighedsstrukturen eller gennemføre opgraderingen.