CVE-2026-55969: Heltalsoverløb i Apache Thrift

Apache Thrift er et rammeværk, som virksomheder bruger til at lade programmer i forskellige programmeringssprog tale sammen over netværket. Sårbarheden CVE-2026-55969 er et heltalsoverløb, en fejl hvor et tal bliver så stort, at det ikke passer i den plads, computeren har afsat, hvorved beregningen springer til en forkert og ofte negativ værdi. Fejlen findes i Thrifts bindinger til C++, c_glib, Go, netstd, Delphi og Haxe, og den kan udløses uden login og uden brugerhandling, blot ved at sende bestemte data til en tjeneste, der bruger biblioteket. Konsekvensen er, at tjenesten kan gå ned eller opføre sig uforudsigeligt.

Det rammer virksomheder og kommuner, der har udviklet egne systemer eller integrationer med Apache Thrift som kommunikationslag mellem services, for eksempel i mikroservicearkitekturer eller ved integration mellem fagsystemer. Det gælder installationer af Apache Thrift i C++, c_glib, Go, netstd, Delphi eller Haxe i alle versioner før 0.24.0. Er Thrift kun brugt indirekte via et tredjepartsprodukt, er det leverandøren af det produkt, der skal opdatere.

En angriber, der kan sende netværkstrafik til en tjeneste, som bruger den sårbare kode, kan udløse heltalsoverløbet og få tjenesten til at gå ned eller hænge. I praksis betyder det driftsstop for den tjeneste, der bruger Thrift, hvilket kan ramme alt fra interne integrationer til kundevendte API’er. Sårbarheden giver ikke adgang til data og kan ikke bruges til at ændre data, men et gentaget angreb kan holde en tjeneste nede, indtil den genstartes eller opdateres.

CVSS-scoren er 7,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen brugerhandling, og det kan udføres over netværk med lav kompleksitet. Til gengæld påvirker det kun tilgængeligheden, ikke fortrolighed eller integritet, så det kan lamme en tjeneste, men ikke lække eller ændre data. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden bliver udnyttet i praksis.

Det vigtigste er at opdatere Apache Thrift til den rettede version.

1. Opdatér Apache Thrift til version 0.24.0 eller nyere i alle systemer, der bruger C++, c_glib, Go, netstd, Delphi eller Haxe bindingerne.
2. Kortlæg, hvilke interne og eksterne systemer der bruger Thrift, herunder tredjepartsprodukter, der kan indeholde biblioteket.
3. Test opdateringen i et testmiljø, hvis Thrift bruges i produktionskritiske integrationer, inden den rulles ud.
4. Overvåg tjenester, der bruger Thrift, for uventede nedbrud eller genstarter, indtil opdateringen er gennemført.
5. Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv kan identificere, om Thrift er en del af jeres systemlandskab, eller hvis opdateringen kræver kodeændringer.