CVE-2026-55968: DoS-sårbarhed i Apache Thrift Node.js
Apache Thrift Node.js-biblioteket kan overbelastes og lukke ned. Opdatér til version 0.24.0.
Hvad er det?
CVE-2026-55968 er en sårbarhed i Node.js-bindingerne til Apache Thrift, et bibliotek der bruges til at bygge tjenester, som kan kommunikere på tværs af programmeringssprog. Fejlen betyder, at biblioteket i visse tilfælde bruger uforholdsmæssigt meget regnekraft eller hukommelse til at behandle indkommende data, uden nogen øvre grænse. En angriber kan udnytte det ved at sende specielt udformede forespørgsler, der får serveren til at bruge alle sine ressourcer på at behandle dem. Resultatet er, at tjenesten reagerer langsomt eller går helt ned.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Apache Thrift Node.js-bindinger i version før 0.24.0. Det gælder typisk backend-systemer og mikroservice-arkitekturer, hvor Thrift bruges til at forbinde tjenester skrevet i forskellige sprog. Hvis jeres udviklingsteam har bygget interne API’er eller integrationer med Apache Thrift på Node.js, er det relevant at tjekke versionen.
Hvad kan ske?
En angriber kan sende forespørgsler over netværket, som får den ramte tjeneste til at bruge unormalt meget CPU eller hukommelse. I praksis kan det lukke tjenesten ned eller gøre den utilgængelig for legitime brugere, mens ressourcerne er optaget. Der er ingen risiko for, at data læses eller ændres, kun for at systemet holder op med at virke.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, det er nok at kunne sende data til den ramte tjeneste over netværket. Kun tilgængeligheden rammes, altså om systemet virker, ikke fortrolighed eller integritet af data. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Apache Thrift Node.js-bindingerne til version 0.24.0 eller nyere. Det lukker selve sårbarheden.
- Kortlæg hvilke af jeres systemer og integrationer, der bruger Apache Thrift i Node.js, hvis I ikke allerede har et overblik.
- Indtil I har opdateret, kan I begrænse adgangen til de ramte tjenester med en firewall eller netværkssegmentering, så kun betroede systemer kan sende data til dem.
- Overvåg ressourceforbrug (CPU og hukommelse) på de berørte tjenester, så I kan opdage unormale mønstre tidligt.
- Test opdateringen i et testmiljø, hvis tjenesten er forretningskritisk, inden den rulles ud i produktion.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at kortlægge eller opdatere systemerne, eller hvis Thrift indgår i en større, kompleks arkitektur.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Apache Thrift Node.js-bindingerne til version 0.24.0 så hurtigt som praktisk muligt, især hvis tjenesten er tilgængelig fra internettet eller fra mindre betroede netværk. Er tjenesten kun tilgængelig internt og bag stram netværkssegmentering, kan I vente til jeres næste planlagte opdateringsvindue, men bør ikke udskyde det længere end nødvendigt. Er I i tvivl om, hvor Thrift indgår i jeres arkitektur, anbefaler vi en hurtig kortlægning, inden I beslutter tidsplanen.
Tidslinje
Konkrete eksempler
Mikroservice-arkitektur i en dansk logistikvirksomhed
En dansk logistikvirksomhed bruger Apache Thrift til at koble sine Node.js-baserede sporingstjenester sammen med et lagersystem skrevet i et andet sprog. En ekstern part, der har adgang til at sende sporingsdata ind i systemet, sender bevidst forvrænget data, som får sporingstjenesten til at bruge al sin CPU-kapacitet. Resultatet er, at chauffører og lager ikke kan opdatere eller se leveringsstatus i flere timer, indtil driftsafdelingen genstarter tjenesten og opdaterer biblioteket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres systemer bruger Apache Thrift Node.js-bindinger i en version før 0.24.0. Tjek jeres package.json eller lignende afhængighedsfiler for pakken ‘thrift’, og se hvilken version der er installeret.
Hvordan tjekker vi, hvilken version vi kører?
Kør en kommando som ‘npm list thrift’ i jeres Node.js-projekter, eller gennemgå package-lock.json filen. Er versionen lavere end 0.24.0, er I sårbare.
Kan vi vente til weekenden med at opdatere?
Hvis tjenesten kun er tilgængelig internt og godt afskærmet, kan det forsvares at vente til næste planlagte vedligeholdelsesvindue. Er tjenesten eksponeret mod internettet, bør opdateringen prioriteres hurtigere.
Skal vi anmelde hændelsen til myndighederne?
Der er tale om en sårbarhed, ikke en konstateret hændelse. Kun hvis I faktisk oplever et angreb, der medfører nedbrud eller datatab, kan det udløse anmeldelsespligt efter GDPR eller NIS2, afhængigt af jeres sektor og situationens karakter.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
I kan begrænse hvem der kan sende data til den ramte tjeneste via firewallregler eller netværkssegmentering, og overvåge ressourceforbrug for at opdage forsøg på overbelastning. Det fjerner ikke sårbarheden, men reducerer risikoen midlertidigt.
Påvirker dette også andre sprogbindinger af Apache Thrift, som Java eller Python?
Nej, ifølge NVD-beskrivelsen er det specifikt Node.js-bindingerne til Apache Thrift, der er ramt. Andre sprogbindinger er ikke nævnt som berørte af denne konkrete sårbarhed.
Ramte produkter
Apache: Thrift
< 0.24.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Inefficient Algorithmic Complexity, Allocation of Resources Without Limits or Throttling vulnerability in Apache Thrift Node.js bindings.
This issue affects Apache Thrift: before 0.24.0.
Users are recommended to upgrade to version 0.24.0, which fixes the issue.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.