CVE-2026-55971: Kritisk fejl i Apache Thrift C++
Kritisk bufferoverløb i Apache Thrift C++ (CVE-2026-55971) kan give fjernstyring uden login. Opdater til 0.24.0.
Hvad er det?
Apache Thrift er en open source-ramme, der bruges til at bygge kommunikation mellem softwarekomponenter skrevet i forskellige programmeringssprog, ofte kaldet RPC (fjernstyret procedurekald). CVE-2026-55971 er en heap-baseret bufferoverløb, en fejl hvor et program skriver mere data til en hukommelsesblok end der er afsat plads til, så tilstødende hukommelse bliver overskrevet. Fejlen sidder i C++-bindingerne i Apache Thrift, altså den del af rammen der bruges af programmer skrevet i C++. En angriber kan udløse fejlen ved at sende specielt udformede data til en tjeneste, der bruger denne kode.
Hvem rammer det?
Det rammer virksomheder, der selv udvikler software, eller som bruger tredjepartssystemer bygget med Apache Thrift’s C++ bindings i version før 0.24.0. Det er typisk relevant for softwarevirksomheder, teknologiafdelinger i større danske virksomheder og kommuner med egenudviklede backend-systemer, hvor Thrift bruges til intern eller ekstern servicekommunikation.
Hvad kan ske?
En angriber kan sende manipuleret data over netværket til en Thrift-baseret tjeneste og udnytte overløbet til at få tjenesten til at gå ned, eller i værste fald til at få systemet til at udføre angriberens egen kode. Da angrebet ikke kræver login eller brugerhandling, kan et sårbart system blive overtaget uden at nogen medarbejder foretager sig noget forkert.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, hvilket er kritisk. Angrebet kan udføres over netværket, kræver ingen adgangskode og ingen handling fra en bruger, og kompleksiteten er lav. Der er ikke registreret aktiv udnyttelse pr. offentliggørelsesdatoen, men kombinationen af lav kompleksitet og ingen krav om login gør, at risikoen stiger, så snart teknisk viden om fejlen bliver bredt kendt.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I opdaterer.
- Opdater Apache Thrift til version 0.24.0 eller nyere i alle systemer, der bruger C++ bindings. Dette lukker sårbarheden.
- Kortlæg alle interne og eksterne systemer, der bruger Apache Thrift, herunder tredjepartssoftware og leverandørsystemer.
- Hvis en øjeblikkelig opdatering ikke er mulig, begræns netværksadgang til Thrift-tjenester via firewall til kun betroede IP-adresser.
- Overvåg logs for uventede nedbrud eller usædvanlig trafik mod Thrift-tjenester i overgangsperioden.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke kan afklare omfanget af jeres Thrift-installationer eller har svært ved at teste opdateringen.
Opdater inden 7 dage
Vi anbefaler at opdatere til Apache Thrift 0.24.0 hurtigst muligt, især for tjenester der er tilgængelige fra internettet. Det er acceptabelt at vente til næste planlagte vedligeholdelsesvindue, hvis tjenesten kun kører internt bag stærk netværkssegmentering, men vi fraråder at lade opdateringen ligge længere end en uge, da sårbarheden er kritisk og let at udnytte.
Tidslinje
Konkrete eksempler
Intern mikroservice hos dansk softwarevirksomhed
En dansk softwarevirksomhed bruger Apache Thrift til kommunikation mellem interne mikroservices skrevet i forskellige sprog. En af tjenesterne er ved en fejl tilgængelig fra internettet via en åben port. En angriber finder tjenesten, sender manipuleret data og får serveren til at gå ned, hvilket stopper virksomhedens ordresystem i flere timer, indtil fejlen bliver identificeret og systemet genstartet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres virksomhed eller en leverandør bruger Apache Thrift’s C++ bindings i en version før 0.24.0. Tjek jeres softwareafhængigheder eller spørg jeres udviklere og leverandører direkte.
Hvordan tjekker vi, om vi bruger Apache Thrift?
Se i jeres byggeafhængigheder, pakkefiler eller softwareoversigt (SBOM) efter thrift-biblioteket. Kontakt også leverandører af egenudviklede eller tilpassede systemer for at bekræfte, om Thrift indgår i deres løsning.
Kan vi vente til weekenden med at opdatere?
Hvis systemet kun er tilgængeligt internt og bag stærk netværkssegmentering, kan I vente til et planlagt vindue inden for en uge. Er systemet tilgængeligt fra internettet, bør opdateringen prioriteres før weekenden.
Skal vi anmelde dette til myndighederne?
Sårbarheden i sig selv udløser ikke en anmeldelsespligt. Bliver systemet faktisk kompromitteret, og der er tale om et sikkerhedsbrud med persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Hvad sker der, hvis vi ikke opdaterer?
Et sårbart system kan blive overtaget af en angriber uden login, hvilket kan føre til nedbrud af tjenesten eller udførelse af skadelig kode på serveren. Det kan i praksis betyde driftsstop eller uautoriseret adgang til data.
Ramte produkter
Apache: Thrift
< 0.24.0
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Heap-based Buffer Overflow vulnerability in Apache Thrift C++ bindings.
This issue affects Apache Thrift: before 0.24.0.
Users are recommended to upgrade to version 0.24.0, which fixes the issue.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.