CVE-2026-58389: Ressourcefejl i Apache Thrift Rust

Apache Thrift er et framework, som virksomheder bruger til at få forskellige programmeringssprog til at tale sammen over netværk, for eksempel mellem en webservice og en baggrundstjeneste. CVE-2026-58389 er en fejl i de Rust-baserede dele af Thrift, hvor programmet ikke sætter en grænse for, hvor meget hukommelse eller hvor mange ressourcer det bruger, når det modtager data. Det kaldes CWE-770: allokering af ressourcer uden begrænsning. En angriber kan derfor sende data, der får programmet til at bruge urimeligt meget hukommelse eller regnekraft, uden at skulle logge ind først.

Fejlen rammer virksomheder, der har bygget egne services eller integrationer med Apache Thrift’s Rust-bindinger i version før 0.24.0. Det er typisk udviklingsafdelinger eller leverandører, der bruger Thrift til intern eller ekstern kommunikation mellem systemer, for eksempel i mikroservice-arkitekturer. Almindelige kontor-it-brugere er ikke direkte ramt, men kunder og medarbejdere kan mærke det, hvis en bagvedliggende service bliver utilgængelig.

En angriber kan sende specielt formede forespørgsler til en Thrift-baseret service og få den til at bruge så meget hukommelse eller CPU, at tjenesten bliver langsom eller går ned. For en dansk virksomhed betyder det, at en kundevendt API eller et internt system pludselig ikke svarer, hvilket kan stoppe ordrer, betalinger eller andre forretningskritiske processer, indtil tjenesten genstartes.

CVSS-scoren er 7,5 af 10, som svarer til alvorlig. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Det påvirker kun tilgængelighed, altså om systemet svarer, og ikke fortrolighed eller dataintegritet. Der er ingen kendte tilfælde af aktiv udnyttelse eller offentligt tilgængelig angrebskode på offentliggørelsesdatoen, men den lave kompleksitet betyder, at det er nemt at udnytte, hvis nogen forsøger.

Sådan lukker I hullet og begrænser risikoen i mellemtiden.

1. Opgradér Apache Thrift Rust-bindinger til version 0.24.0 eller nyere. Det fjerner fejlen.
2. Kortlæg, hvilke af jeres systemer og services der bruger Thrift’s Rust-bindinger, herunder tredjepartskomponenter.
3. Indtil opgradering er gennemført, kan I sætte grænser for forbindelser og forespørgselsstørrelse i firewall eller loadbalancer for at begrænse skaden af et angreb.
4. Overvåg ressourceforbrug på de berørte systemer for uventede stigninger i hukommelse eller CPU.
5. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har overblik over, hvor Thrift bruges i jeres arkitektur, eller hvis opgradering kræver ændringer i kritiske produktionssystemer.