CVE-2026-58023: Kritisk fejl i Apache Thrift c_glib

Apache Thrift er et udbredt rammeværk, som virksomheder bruger til at få programmer skrevet i forskellige programmeringssprog til at kommunikere med hinanden over netværk, typisk i form af RPC-kald (fjernkald mellem services). CVE-2026-58023 er en fejl i den del af Thrift, der hedder c_glib-bindings, og som bruges af programmer skrevet i C. Fejlen er en såkaldt out-of-bounds read, hvor programmet læser data fra hukommelse uden for det tiltænkte område. Det sker, når en angriber sender specielt formet data til en tjeneste, der bruger denne del af Thrift.

Sårbarheden rammer alle systemer, der bruger Apache Thrift version før 0.24.0 sammen med c_glib-bindings, altså C-baserede tjenester der modtager Thrift-kald over netværket. Det er typisk backend-services, mikroservices eller integrationslag i virksomheder, der har bygget egne systemer oven på Thrift, eller som bruger tredjepartssoftware, hvor Thrift indgår som byggeklods. Danske virksomheder rammes indirekte, hvis de bruger produkter eller platforme, der internt trækker på Apache Thrift i C.

En angriber, der kan nå tjenesten over netværket, kan sende data, der får programmet til at læse uden for sit tildelte hukommelsesområde. I praksis kan det enten få tjenesten til at gå ned, så den ikke længere svarer, eller lække indhold fra hukommelsen, som kan indeholde følsomme data fra andre forbindelser eller brugere. For en dansk virksomhed betyder det risiko for driftsstop på en central integration og mulig utilsigtet videregivelse af data, uden at der er brug for login eller nogen handling fra en medarbejder.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen brugerinteraktion og kan udføres over netværket med lav kompleksitet, altså uden særlige forudsætninger hos angriberen. Konsekvensen er høj for fortrolighed, fordi data kan læses, og høj for tilgængelighed, fordi tjenesten kan gå ned. Integriteten påvirkes ikke, så angriberen kan ikke ændre data. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men den er offentligt kendt og let at afprøve.

Følgende trin lukker hullet og begrænser risikoen, mens I opdaterer.

1. Opdatér Apache Thrift til version 0.24.0 eller nyere på alle systemer, der bruger c_glib-bindings.
2. Kortlæg, hvilke af jeres systemer og tredjepartsprodukter der bygger på Apache Thrift, herunder integrationer skrevet i C.
3. Begræns netværksadgang til Thrift-tjenester, så de kun kan tilgås fra betroede systemer, indtil opdateringen er gennemført.
4. Gennemgå logs for tjenesten for uventede nedbrud eller unormale forbindelser, der kan indikere forsøg på udnyttelse.
5. Test opdateringen i et testmiljø, hvis tjenesten er forretningskritisk, men undgå at udskyde selve opdateringen unødigt.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres systemer bruger den sårbare komponent, eller hvis I finder tegn på udnyttelse.