CVE-2026-58662: Kritisk fejl i Apache Thrift C++

Apache Thrift er et framework, som virksomheder bruger til at bygge tjenester, der kommunikerer effektivt mellem systemer skrevet i forskellige programmeringssprog. Sårbarheden ligger i de C++ bindings, der oversætter Thrift-kald til C++-kode. Fejlen består af to svagheder: CWE-125, som betyder at programmet kan læse data uden for det hukommelsesområde, det har fået tildelt, og CWE-1284, som betyder at programmet ikke validerer en angivet mængde eller længde i inputdata korrekt, før den bruges. Sammen gør de to fejl, at en angriber kan sende bevidst forkert udformet data til en tjeneste, der bruger de sårbare bindings, og få adgang til hukommelsesindhold, den ikke skulle kunne se, eller få tjenesten til at gå ned.

Det rammer virksomheder, der selv har udviklet eller integreret systemer med Apache Thrift C++ bindings i version før 0.24.0. Det gælder typisk backend-tjenester, microservices og RPC-kommunikation (kald mellem programmer over netværk) mellem interne systemer, hvor Thrift bruges til at serialisere og udveksle data. Er I ikke selv udviklere, kan sårbarheden alligevel ramme jer, hvis en leverandør har bygget en løsning til jer på Apache Thrift.

En angriber, der kan sende data til en tjeneste med de sårbare C++ bindings, kan læse fortrolige oplysninger fra tjenestens hukommelse, for eksempel adgangskoder, sessionsnøgler eller kundedata, der ligger midlertidigt i hukommelsen. Angriberen kan også få tjenesten til at gå ned, hvilket stopper den funktion, tjenesten leverer. For en dansk virksomhed kan det betyde driftsstop på en intern tjeneste og risiko for, at fortrolige data er kompromitteret, uden at det nødvendigvis kan ses i logfiler.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværk uden login og uden at en bruger skal klikke på noget eller foretage en handling. Angrebet kræver ikke særlig teknisk kompleksitet. Konsekvensen er høj risiko for læk af fortrolige data og høj risiko for driftsstop, mens der ikke er risiko for, at angriberen kan ændre data. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men en opdatering findes allerede.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér Apache Thrift C++ bindings til version 0.24.0 eller nyere. Det lukker sårbarheden direkte.
2. Kortlæg, hvilke af jeres systemer og leverandørløsninger der bruger Apache Thrift, og hvilke af dem der er baseret på C++.
3. Indtil opdatering er gennemført, isolér de sårbare tjenester, så de kun kan tilgås fra betroede netværk eller via VPN.
4. Gennemgå logfiler for tjenesterne for unormal trafik eller uventede nedbrud, der kan tyde på forsøg på udnyttelse.
5. Test opdateringen i et testmiljø, hvis tjenesten er forretningskritisk, inden den rulles ud i produktion.
6. Kan I ikke selv finde ud af, om og hvor Apache Thrift bruges i jeres systemer, bør I hente hjælp udefra til at kortlægge det.