Apache Thrift Java: Ressourcenerschöpfung in TSaslNonblockingServer
Zusammenfassung
Die Java-Implementierung von Apache Thrift (libthrift) reserviert Speicher für SASL-Frames ohne Begrenzung, bevor sich ein Client authentifiziert. Ein entfernter, nicht authentifizierter Angreifer kann mit präparierten Anfragen den Speicher erschöpfen und einen Denial-of-Service auf dem betroffenen Thrift-Server auslösen. Betroffen sind nur Java-Dienste, die TSaslNonblockingServer verwenden, das Risiko ist bei Diensten aus dem Internet oder aus unvertrauenswürdigen Netzen am höchsten.
Betroffen
- Apache Thrift Java-Bindings (org.apache.thrift:libthrift) vor 0.25.0
- Java-Anwendungen, die libthrift direkt oder transitiv einbinden, z. B. über jena-arq 5.5.0 (libthrift 0.22.0)
- Distributionspakete: Unbekannt, Security-Tracker der Distribution prüfen
Behoben in
- Apache Thrift 0.25.0 (org.apache.thrift:libthrift:0.25.0)
- Distributionspakete: Unbekannt, Security-Tracker der Distribution prüfen
Umgehung
- Keine Workaround des Herstellers bekannt.
- Falls das Patchen verzögert wird, den Netzwerkzugriff auf den Thrift-Dienstport auf vertrauenswürdige Quellen beschränken.
- Speicherauslastung und Verbindungsanzahl der betroffenen Java-Dienste überwachen.
Ausnutzung
- Aktiv ausgenutzt: Keine Hinweise gefunden. Von einem Drittanbieter-Tracker nicht als aktiv ausgenutzt geführt.
- Öffentlicher Proof of Concept: In den geprüften Quellen keiner gefunden.
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Java-Dienste inventarisieren und auf libthrift-Versionen unter 0.25.0 prüfen, einschliesslich transitiver Abhängigkeiten in Lockfiles und ausgelieferten JAR-Dateien.
- libthrift auf 0.25.0 aktualisieren und Distributionspakete separat prüfen.
- Thrift-Java-Dienste mit Erreichbarkeit aus dem Internet oder aus unvertrauenswürdigen Netzen priorisieren.
- Das Update auf 0.25.0 behebt auch die verwandte Folgeschwachstelle CVE-2026-94639.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache dev list announcement (Apache Thrift 0.25.0 fix) www.mail-archive.com
- Apache list thread 1 lists.apache.org
- Apache list thread 2 lists.apache.org
- OSV: Azure Linux advisory AZL-106605 osv.dev
- OSV: related follow-up BIT-thrift-2026-94639 osv.dev
- Ubuntu security tracker entry (OSV) osv.dev
- HAPI FHIR issue showing transitive libthrift dependency github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.