Apache Thrift: Denial of Service durch unbegrenzte Rekursion in skip()
Zusammenfassung
Mehrere Sprachbindungen von Apache Thrift wenden beim Überspringen unbekannter Felder das Rekursionslimit nicht an. Eine speziell gestaltete Nachricht mit tief verschachtelten unbekannten Feldern kann den Stack erschöpfen und den betroffenen Prozess zum Absturz bringen. Betroffen sind der Python C++-Accelerator, die PHP-Bibliothek und deren Erweiterung thrift_protocol sowie die Bibliotheken für Perl, Lua, Smalltalk und OCaml; die reinen Python-Protokolle sind nicht betroffen. Die Gefährdung hängt davon ab, ob ein solcher Thrift-Dienst Eingaben aus unvertrauenswürdigen Netzwerken annimmt.
Betroffen
- Apache Thrift vor 0.25.0
- Python C++-Accelerator
- PHP-Bibliothek und Erweiterung thrift_protocol
- Bibliotheken für Perl, Lua, Smalltalk und OCaml
- Reine Python-Protokolle sind nicht betroffen
Behoben in
- Apache Thrift 0.25.0
- Distributionspakete: Unbekannt. Ubuntu und Azure Linux zeigen zum Zeitpunkt der Recherche noch einen offenen Status.
Umgehung
Unbekannt aus den Quellen. Der Hersteller hat keine Workaround veröffentlicht.
- Zwischenmassnahme (nicht vom Hersteller): Unvertrauenswürdige Eingaben, die Thrift-Endpunkte erreichen, einschränken und vor diesen eine Begrenzung der Anfragegrösse einsetzen, bis der Patch installiert ist.
Ausnutzung
- Zum Zeitpunkt der Recherche (1. November 2026) ist kein öffentlicher Exploit-Code bestätigt.
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS-Wert: Unbekannt.
Unsere Empfehlung
- Thrift-basierte Dienste mit einem SBOM oder Paketscan identifizieren, einschliesslich des Composer-Pakets apache/thrift und des PyPI-Pakets thrift.
- Dienste priorisieren, die aus dem Internet oder aus unvertrauenswürdigen Netzwerken erreichbar sind.
- Auf Apache Thrift 0.25.0 oder ein vom Hersteller gepatchtes Distributionspaket aktualisieren; falls keine Pakete verfügbar sind, aus dem Quellcode bauen.
- Bis zum Patch unvertrauenswürdige Eingaben einschränken und Begrenzungen der Anfragegrösse anwenden.
- Auf Dienstabstürze oder Neustarts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift CHANGES.md (0.25.0 section) apache.googlesource.com
- ASF security announcement (mail-archive copy) www.mail-archive.com
- Apache lists thread (CVE-2026-66858) lists.apache.org
- OSV: AZL-105950 (Azure Linux, last affected 0.24.0) osv.dev
- Ubuntu security notice CVE-2026-66858 ubuntu.com
- Vulners CVE-2026-66858 vulners.com
- TheHackerWire CVE-2026-66858 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.