Apache Thrift PHP-Bindings: Stack-based Buffer Overflow durch Integer Overflow
Zusammenfassung
Die PHP-Bindings von Apache Thrift vor 0.25.0 enthalten einen Stack-based Buffer Overflow, der durch einen Integer Overflow verursacht wird, wenn eine über das Netzwerk übermittelte Stringlänge zur Dimensionierung eines Stack-Puffers verwendet wird. Ein entfernter, nicht authentifizierter Angreifer kann eine präparierte Anfrage an einen Thrift-Dienst senden, wodurch der Dienst zum Absturz gebracht werden kann. Die Gefährdung hängt davon ab, ob eine PHP-Anwendung Thrift verwendet und Thrift-Datenverkehr aus nicht vertrauenswürdigen Netzwerken akzeptiert.
Betroffen
- Apache Thrift PHP-Bindings (Composer-Paket apache/thrift) vor 0.25.0
- Distributionspakete: betroffene Versionen variieren, Distributions-Tracker prüfen
Behoben in
- Apache Thrift 0.25.0 oder neuer
- Behobene Versionen der Distributionspakete: Unbekannt.
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Der Hersteller empfiehlt ein Upgrade.
- Netzwerkzugriff auf jeden Thrift-Endpunkt einschränken, sodass bis zur Behebung nur vertrauenswürdige Clients ihn erreichen können.
Ausnutzung
- Kein öffentlicher Exploit oder Proof of Concept bekannt.
- Nicht in CISA KEV gelistet; keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Prüfen, ob auf einem System Thrift PHP im Einsatz ist (Composer apache/thrift oder Distributionspaket php-thrift) und welche Version vorliegt.
- Auf Apache Thrift 0.25.0 oder neuer aktualisieren oder das behobene Paket der Distribution installieren, sobald verfügbar.
- Netzwerkzugriff auf Thrift-Dienste bis zur Behebung einschränken.
- Den Apache-Thread und den Distributions-Tracker auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache lists thread (CVE-2026-66837) lists.apache.org
- Apache announcement (mirror) www.mail-archive.com
- OSV record BIT-thrift-2026-66837 osv.dev
- PSIRT record psirt.com
- Debian OSV record osv.dev
- Ubuntu security tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.