CVE-2026-48144: Kritisk certifikatfejl i Apache Thrift

CVE-2026-48144 er en fejl i Apache Thrift, som er et framework til at lave RPC-kommunikation (fjernkald mellem programmer) mellem systemer skrevet i forskellige programmeringssprog. Fejlen sidder specifikt i c_glib-bindingerne, som er den variant af Thrift, der bruges i C-baserede programmer via glib-biblioteket. Når en klient opretter en krypteret forbindelse med TLS, skal den kontrollere, at certifikatets hostname matcher den server, den taler med. Denne kontrol fejler i de sårbare versioner, så en klient kan blive narret til at tale med en falsk server, der udgiver sig for at være den rigtige.

Det rammer virksomheder, der bruger Apache Thrift i C-baserede applikationer med c_glib-bindinger til at kommunikere med andre systemer over TLS. Det gælder alle versioner før 0,24.0. Typisk vil det være virksomheder med interne microservices, systemintegrationer eller specialudviklede backend-løsninger, hvor Thrift bruges som kommunikationslag mellem tjenester.

En angriber, der sidder på samme netværk eller kan omdirigere trafikken, kan udgive sig for at være den legitime server. Fordi certifikatets hostname ikke bliver tjekket korrekt, accepterer klienten forbindelsen alligevel. Angriberen kan derefter læse data, der sendes i klar tekst gennem den krypterede forbindelse, og i nogle tilfælde også ændre data undervejs. For en dansk virksomhed betyder det risiko for, at følsomme data, adgangskoder eller forretningsdata bliver aflæst eller manipuleret uden at nogen bemærker det.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen er høj risiko for læk af fortrolige data og manipulation af data, men ikke for nedbrud af systemet. Der er ikke oplyst tegn på, at sårbarheden aktivt udnyttes, men fejlen er nem at forstå og relativt let at udnytte for en angriber, der kan placere sig mellem klient og server.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Apache Thrift til version 0,24.0 eller nyere i alle systemer, der bruger c_glib-bindingerne.
2. Gennemgå jeres kodebase for, hvor Thrift bruges med TLS, og bekræft, at opdateringen faktisk er slået i brug efter genstart af de relevante tjenester.
3. Kontrollér certifikaterne, der bruges i jeres Thrift-forbindelser, og sørg for, at de er korrekt udstedt til de rigtige hostnames.
4. Overvåg netværkstrafik for uventede TLS-fejl eller certifikatadvarsler i logfiler, som kan indikere forsøg på at udnytte fejlen.
5. Hent hjælp udefra, hvis I ikke selv kan identificere, hvor Thrift med c_glib bruges i jeres systemer, eller hvis opdateringen kræver ændringer i tredjepartsintegrationer.