Apache Thrift Go: Unbegrenzte Ressourcenallokation ermöglicht unauthentifizierten Absturz
Zusammenfassung
Die Go-Bindings von Apache Thrift vor 0.25.0 allokieren Ressourcen ohne Begrenzung bei der Verarbeitung der THeader-Transform-Anzahl. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen Go-Thrift-Server mit einem einzelnen präparierten Paket zum Absturz bringen, was zu einem Denial of Service führt. Gemäss CVSS-Vektor sind Vertraulichkeit und Integrität nicht betroffen. Relevant ist dies dort, wo ein Go-Thrift-Server über das Netzwerk erreichbar ist, auch indirekt über Drittsoftware, die Go-Thrift einbettet.
Betroffen
- Apache Thrift vor 0.25.0 (Go-Bindings, Go-Modul github.com/apache/thrift)
- Drittsoftware, die den betroffenen Go-Thrift-Code einbettet
Behoben in
- Auf Apache Thrift 0.25.0 oder neuer aktualisieren, was die Schwachstelle behebt.
Umgehung
Unbekannt. Die Einschränkung des Netzwerkzugriffs auf Thrift-Go-Dienste reduziert die Exposition, behebt die Schwachstelle jedoch nicht.
Ausnutzung
- In den geprüften Quellen wurde keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS-Wert 0.00426 (niedrig; Datum nicht angegeben).
- Nicht im CISA-KEV-Katalog verifiziert.
Unsere Empfehlung
- Go-Anwendungen und Container-Images auf github.com/apache/thrift prüfen (go.sum kontrollieren).
- Herstellerhinweise zu eingebetteten Thrift-Komponenten prüfen.
- Auf Apache Thrift 0.25.0 oder neuer aktualisieren. 0.25.0 behebt zudem zahlreiche weitere Schwachstellen.
- Go-Thrift-Dienste nicht dem Internet aussetzen; Zugriff auf vertrauenswürdige Netzwerke beschränken.
- Go-Dienste auf Abstürze und unerwartete Neustarts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list advisory (mirror) www.mail-archive.com
- OSV: BIT-thrift-2026-63772 osv.dev
- Apache lists thread 33otcgbqd27wf6qq810q56znzbomnhg1 lists.apache.org
- Apache lists thread 6kpzdw29gsfxptv4b65y9s6f42tdyo8k lists.apache.org
- Go package github.com/apache/thrift pkg.go.dev
- LinuxSecurity: Apache Thrift 0.25.0 message and memory limits linuxsecurity.com
- OpenCVE: CVE-2026-63772 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.