CVE-2026-58319: Kritisk fejl i Apache Doris administrative API

CVE-2026-58319 er en sårbarhed i Apache Doris, et open source-system til at lagre og analysere store datamængder. Fejlen ligger i FE HTTP REST API’et, en samling af administrative webadresser, som styringsserveren (Frontend, FE) stiller til rådighed. Adgangen mangler korrekt godkendelseskontrol, kaldet CWE-306, hvilket betyder at en angriber uden brugernavn og adgangskode kan udføre administrative kommandoer, hvis blot vedkommende har netværksadgang til FE-tjenesten. Det kan for eksempel dreje sig om at ændre klyngens konfiguration eller stoppe processer, uden at systemet kræver nogen form for identifikation først.

Alle virksomheder og organisationer, der kører Apache Doris i version tidligere end 3.1.0, er ramt. Det gælder både selvhostede installationer og opsætninger, hvor FE HTTP-tjenesten er tilgængelig fra et internt netværk eller, i værste fald, direkte fra internettet. Danske virksomheder, der bruger Doris til big data-analyse, rapportering eller dataplatforme, bør kontrollere deres version med det samme.

En angriber med netværksadgang til FE-tjenesten kan udføre administrative operationer uden at logge ind. I praksis kan det betyde, at klyngen bliver ustabil eller går ned, fordi angriberen kan ændre kritiske indstillinger eller udløse fejl i driften. Fortrolighed er ikke direkte i fare, men både dataintegritet, altså om data forbliver korrekte, og tilgængelighed, altså om systemet kan bruges, er alvorligt udfordret. For en dansk virksomhed kan det betyde nedetid på en analyseplatform, som andre systemer og rapporter er afhængige af.

CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), kræver ingen handling fra en bruger (UI:N) og kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Det betyder, at enhver med netværksadgang til FE-porten kan udnytte fejlen direkte. Der er ingen kendte tilfælde af aktiv udnyttelse pr. offentliggørelsesdatoen, men den lave kompleksitet og det manglende krav om godkendelse gør sårbarheden meget attraktiv at udnytte, hvis den bliver kendt bredt.

Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer:

1. Opdatér Apache Doris til version 3.1.0 eller nyere, hvor adgangskontrollen til de administrative API’er er rettet.
2. Indtil opdateringen er gennemført, skal I sikre, at FE HTTP-tjenesten ikke er tilgængelig fra internettet eller fra netværkszoner, hvor den ikke hører hjemme. Brug en firewall til at begrænse adgangen til betroede IP-adresser.
3. Gennemgå logfiler for FE-tjenesten for at se, om der er sket uautoriserede administrative kald forud for opdateringen.
4. Verificér efter opdatering, at de administrative API-endepunkter nu kræver godkendelse, før de accepterer kald.
5. Dokumentér ændringen og informér relevante systemejere om, at platformen har været sårbar, hvis I skal vurdere følgevirkninger for andre systemer.
6. Er I i tvivl om, hvordan jeres netværk er skåret op omkring FE-tjenesten, eller har I brug for hjælp til at verificere opdateringen, bør I kontakte en sikkerhedsrådgiver.