CVE-2026-55970: Buffer over-read i Apache Thrift C++

Sårbarheden er en buffer over-read, det vil sige at et program læser data fra hukommelse uden for det område, det har fået tildelt. Fejlen findes i C++-bindings til Apache Thrift, et framework der bruges til at serialisere data og lave RPC-kald (fjernprocedurekald) mellem services skrevet i forskellige programmeringssprog. Når en applikation, der bygger på Thrift, modtager særligt udformede data, kan læsningen gå ud over den afsatte buffer og derved eksponere hukommelsesindhold eller få programmet til at gå ned.

Det rammer virksomheder og udviklingsteams, der har bygget egne systemer eller integrationer med Apache Thrift C++ bindings i version ældre end 0.24.0. Det er typisk backend-services, mikroservicearkitekturer eller interne API’er, hvor Thrift bruges til kommunikation mellem systemer. Rammer ikke virksomheder, der udelukkende bruger Thrift-bindings til andre sprog som Java eller Python, medmindre disse også kalder ind i den sårbare C++-kode.

En angriber, der kan sende data til en Thrift-tjeneste bygget på den sårbare version, kan i praksis udløse en fejl, hvor tjenesten læser og eventuelt returnerer hukommelsesindhold, den ikke skulle have adgang til. Det kan lække interne data, og i værste fald kan det få tjenesten til at gå ned, hvilket giver driftsafbrydelse. For en dansk virksomhed betyder det typisk, at en internt eller eksternt tilgængelig service kan blive utilgængelig, eller at fortrolige data i hukommelsen kan blive eksponeret.

CVSS-scoren er 6,5 af 10, moderat risiko. Sårbarheden kan udnyttes over netværket uden login og uden at brugeren skal foretage sig noget, og angrebskompleksiteten er lav. Konsekvensen er dog begrænset: der er lav påvirkning af fortrolighed og lav påvirkning af tilgængelighed, mens dataintegritet ikke er påvirket. Der er ingen tegn på, at fejlen aktivt udnyttes i angreb pr. offentliggørelsesdatoen.

Sådan lukker I hullet og reducerer risikoen:

1. Opdatér Apache Thrift C++ bindings til version 0.24.0 eller nyere. Det lukker sårbarheden direkte.
2. Kortlæg, hvilke af jeres systemer der bruger Thrift C++ bindings, og i hvilken version, hvis I ikke allerede har overblik over det.
3. Genstart de opdaterede services, og bekræft at de kører korrekt efter opdateringen.
4. Overvåg logs for uventede nedbrud eller fejl i Thrift-baserede services i perioden efter opdateringen.
5. Er I i tvivl om, hvilke systemer der er berørt, eller har I ikke ressourcer til at teste opdateringen selv, bør I hente hjælp udefra til kortlægning og test.