CVE-2026-92787: Kritisk JWT-fejl i Feast feature store

CVE-2026-92787 er en fejl i datterplatformen Feast, der bruges til at samle og servere data til maskinlæringsmodeller (en feature store). Systemet skal bekræfte brugeres identitet ved at kontrollere signaturen på en JWT-token, en digitalt underskrevet adgangsbevis. Fejlen betyder, at Feast accepterer en token uden at tjekke, om signaturen er ægte, så længe token indeholder en bestemt, hårdkodet værdi i sit indhold. En angriber kan derfor selv bygge en falsk token med den kendte værdi og blive godkendt som en betroet intern bruger uden at kende nogen adgangskode.

Sårbarheden rammer alle installationer af Feast i version 0.66.0 og tidligere, hvor rollebaseret adgangskontrol (RBAC) er sat op via JWT-godkendelse. Det gælder virksomheder og kommuner, der bruger Feast som central feature store til maskinlæringsprojekter, typisk data- og analyseteams samt IT-drift, der har eksponeret Feast-serveren på et netværk, interne eller offentlige.

En angriber, der kan nå Feast-serveren over netværket, kan opnå fuld læse- og skriveadgang til alle entiteter, feature views, datakilder og adgangspolitikker, uden at logge ind med gyldige oplysninger. I praksis betyder det, at angriberen kan stjæle forretningsdata og modeltræningsdata, ændre eller slette datasæt, og omskrive adgangspolitikker, så egne rettigheder udvides yderligere. For en dansk virksomhed kan det føre til datalæk af persondata brugt i modeller, sabotage af produktionssystemer der bygger på Feast-data, og et brud på GDPR, der skal anmeldes.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen brugerhandling fra offeret og kan udføres over netværket med lav kompleksitet. Både fortrolighed, integritet og tilgængelighed er fuldt ramt (C=H, I=H, A=H), fordi angriberen får både læse- og skriverettigheder til alt data i systemet. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsesdatoen, men sårbarheden er triviel at udnytte, når man kender den hårdkodede værdi.

Følgende trin lukker hullet og begrænser skaden, mens I opdaterer.

1. Opdatér Feast til en version nyere end 0.66.0, hvor JWT-signaturverifikation er rettet. Tjek release notes fra Feast-projektet for den konkrete version.
2. Kan I ikke opdatere med det samme, så afskær ekstern netværksadgang til Feast-serveren, og begræns adgangen til et internt, betroet netværk eller VPN.
3. Roter alle JWT-signeringsnøgler og udgivne tokens, så eventuelle allerede udstedte falske tokens ikke længere virker efter opdateringen.
4. Gennemgå adgangslogs på Feast-serveren for ukendte klienter, uventede læse- eller skriveoperationer på entiteter og ændringer i permission-policies.
5. Vurdér om persondata i feature stores kan være tilgået, og afklar om det udløser en anmeldelsespligt efter GDPR.
6. Er I i tvivl om, hvordan RBAC og JWT er sat op hos jer, eller finder I spor af misbrug, bør I tilkalde ekstern sikkerhedshjælp til undersøgelse og hærdning.