CVE-2026-48145: Certifikatfejl i Apache Thrift C++

CVE-2026-48145 er en fejl i Apache Thrift, et rammeværktøj der bruges til at få forskellige systemer og programmeringssprog til at kommunikere med hinanden over netværk. Fejlen ligger i C++-delen af Thrift og betyder, at programmet ikke kontrollerer, om et TLS-certifikat faktisk matcher den server, det siger sig at være. TLS er den kryptering, der normalt sikrer, at forbindelsen går til den rigtige modtager og ikke kan aflæses undervejs. Uden korrekt kontrol kan en angriber præsentere et gyldigt certifikat for en helt anden server og alligevel blive godtaget som den rigtige modpart.

Det rammer virksomheder og organisationer, der har udviklet eller bruger systemer med Apache Thrift C++-bindinger i version under 0.24.0. Det gælder typisk internt udviklede systemer til datastrømme, mikroservices eller integrationer mellem baggrundssystemer, hvor Thrift bruges til kommunikation mellem servere. Danske virksomheder med egen softwareudvikling, som bygger på Thrift til intern eller ekstern systemintegration, bør tjekke deres kodebase og afhængigheder.

En angriber, der kan placere sig mellem to systemer, der taler sammen via Thrift, for eksempel på et delt netværk eller ved at overtage en DNS-opslag, kan udgive sig for at være den legitime server. Fordi certifikatet ikke bliver kontrolleret korrekt mod værtsnavnet, kan angriberen aflæse trafik, som skulle have været krypteret og fortrolig. I praksis betyder det, at data som adgangskoder, kundedata eller interne systemoplysninger kan blive læst af en uvedkommende, uden at nogen af parterne bemærker det.

CVSS-scoren er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra brugeren, og det kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld fortrolighed af data (C=HIGH), men fejlen påvirker ikke integritet eller tilgængelighed af systemerne. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen, men fordi angrebsbetingelserne er lette at opfylde, bør det tages seriøst.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér Apache Thrift til version 0.24.0 eller nyere i alle systemer, der bruger C++-bindingerne.
2. Kortlæg, hvor Thrift bruges i jeres kodebase og hos underleverandører, så ingen forekomster overses.
3. Gennemgå netværkssegmentering, så Thrift-baseret trafik ikke unødigt eksponeres på delte eller usikre netværk, indtil opdateringen er gennemført.
4. Tjek logs for usædvanlige forbindelsesforsøg eller certifikatfejl, der kan indikere tidligere forsøg på udnyttelse.
5. Kontakt jeres udviklingsleverandør eller en sikkerhedsrådgiver, hvis I ikke selv har overblik over, hvor og hvordan Thrift indgår i jeres systemer.