CVE-2026-48586: DoS-sårbarhed i Apache Thrift

Apache Thrift er et rammeværk, som mange virksomheder bruger til at bygge services, der kommunikerer med hinanden på tværs af programmeringssprog, for eksempel mellem en Java-baseret backend og en Python-baseret tjeneste. CVE-2026-48586 er en fejl i, hvordan Thrift håndterer stærkt komprimerede data, kaldet data amplification. En modtager, der pakker data ud (dekomprimerer), kan ende med at bruge langt mere hukommelse og processorkraft, end den indkommende datamængde umiddelbart antydede, fordi et lille komprimeret input kan udvide sig til en meget stor mængde data internt. Det kan overbelaste den tjeneste, der modtager dataene, uden at der er behov for login eller brugerhandling.

Sårbarheden findes i Apache Thrift version 0.24.0 og ældre, i bindingerne til C++, Java, Python, Go, D og C/GLib. Det rammer virksomheder, der har bygget interne eller eksterne services, API’er eller mikroservicearkitekturer med Thrift som kommunikationslag, uanset hvilket af de nævnte sprog services er skrevet i. Er Thrift-tjenesten tilgængelig fra internettet eller fra et netværk, angriberen har adgang til, er den udsat.

En angriber kan sende en lille mængde specielt komprimerede data til en Thrift-baseret tjeneste og derved få den til at bruge al sin hukommelse eller processorkraft på at pakke dataene ud. Resultatet er, at tjenesten går ned eller stopper med at svare, det man kalder en overbelastningsangreb (denial of service). For en dansk virksomhed kan det betyde, at en kritisk backend-service, et API eller en integration mellem systemer holder op med at fungere, hvilket kan lamme forretningsprocesser, der er afhængige af den pågældende service.

CVSS-scoren er 7,5 af 10, kategoriseret som alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er alene tilgængelighed, det vil sige at tjenesten bliver utilgængelig; der er ikke risiko for, at angriberen kan læse eller ændre data. Der er ved offentliggørelsen ingen kendte tilfælde af aktiv udnyttelse, men fordi angrebet er let at udføre og ikke kræver godkendelse, bør det tages seriøst hvis Thrift-tjenesten er netværkstilgængelig.

Følg disse skridt for at lukke sårbarheden og begrænse risikoen, mens I opdaterer.

1. Opdatér alle Apache Thrift-biblioteker og -tjenester til version 0.24.0 eller nyere. Det er den eneste løsning, der fjerner fejlen.
2. Kortlæg, hvor Thrift bruges i jeres systemer, og prioritér de tjenester, der er tilgængelige fra internettet eller fra mindre tillidsfulde netværk.
3. Indfør eller kontrollér grænser for, hvor store dekomprimerede datamængder en tjeneste må behandle, som en midlertidig beskyttelse indtil opdatering er gennemført.
4. Overvåg logs for services, der pludselig bruger meget hukommelse eller processorkraft, og som modtager komprimerede data fra eksterne kilder.
5. Begræns netværksadgang til Thrift-tjenester med firewallregler, så kun betroede systemer kan sende data til dem.
6. Er I i tvivl om, hvilke systemer der bruger Thrift, eller har I ikke ressourcer til at gennemføre opdateringen selv, bør I søge hjælp fra en it-sikkerhedsrådgiver.