Apache Thrift c_glib: NULL-Pointer-Dereferenzierung lässt Multiplexed Processor abstürzen
Zusammenfassung
Die c_glib-Bindings von Apache Thrift vor Version 0.25.0 enthalten eine NULL-Pointer-Dereferenzierung und die Verwendung einer nicht initialisierten Variable. Ein entfernter, nicht authentifizierter Angreifer kann eine Nachricht senden, die der c_glib Multiplexed Processor nicht zuordnen kann, wodurch der Dienst abstürzt. Die Auswirkung beschränkt sich auf Denial of Service; eine Beeinträchtigung der Vertraulichkeit oder Integrität ist nicht dokumentiert. Relevant sind nur Dienste, die auf Thrift c_glib mit dem Multiplexed Processor basieren und Netzwerkverbindungen annehmen.
Betroffen
- Apache Thrift c_glib-Bindings, Versionen vor 0.25.0
- Distributionspakete auf Basis von Thrift 0.24.0 oder älter, zum Beispiel Azure Linux thrift 0.24.0-1
Behoben in
- Apache Thrift 0.25.0 (vom Hersteller empfohlenes Update)
- Distributionspakete: Die korrigierte Paketversion ist der Sicherheitsmitteilung Ihrer Distribution zu entnehmen
Umgehung
- Vom Hersteller ist kein Workaround dokumentiert.
- Übergangsmassnahme: Netzwerkzugriff auf den Thrift-Dienst auf vertrauenswürdige Netze beschränken, bis das Update eingespielt ist.
Ausnutzung
- Keine Berichte über eine Ausnutzung in der Praxis bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS 0.00316 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen, ob ein Dienst Thrift c_glib mit dem Multiplexed Processor verwendet.
- Falls ein solcher Dienst aus unvertrauenswürdigen Netzen erreichbar ist, auf Apache Thrift 0.25.0 oder das korrigierte Distributionspaket aktualisieren.
- Falls die Komponente nur intern genutzt wird oder nicht vorhanden ist, ist das Risiko gering; in der Zwischenzeit auf Dienstabstürze achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift 0.25.0 changelog apache.googlesource.com
- Apache Thrift download page thrift.apache.org
- OSV/Bitnami record BIT-thrift-2026-66859 osv.dev
- Azure Linux OSV record AZL-106590 osv.dev
- Apache list thread 33otcgbqd27wf6qq810q56znzbomnhg1 lists.apache.org
- Apache list thread n9rogg2166hl9y4ycq5njpvnxndr8y5o lists.apache.org
- Vulners CVE record CVE-2026-66859 vulners.com
- SUSE CVE aggregator record CVE-2026-66859 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.