Apache Thrift: Übermässige Speicherallokation bei unbegrenzter Elementanzahl
Zusammenfassung
Apache Thrift ist ein sprachübergreifendes Bibliothekspaket für RPC und Serialisierung, das in vielen Anwendungen eingesetzt wird. In betroffenen Versionen wird die Anzahl der Container-Elemente nicht mit den verfügbaren Bytes abgeglichen, sodass eine präparierte Nachricht eine übermässige Speicherallokation auslösen und die betroffene Anwendung unverfügbar machen kann. Die Schwachstelle ist über das Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion erreichbar, jedoch nur dort, wo eine Anwendung einen Thrift-Endpunkt gegenüber nicht vertrauenswürdigen Netzen öffnet. Die meisten KMU kommen Thrift indirekt als Abhängigkeit anderer Software zum Einsatz.
Betroffen
- Apache Thrift vor 0.25.0, in den Sprachbindings Go, .NET, OCaml, Erlang, Java ME, Rust, C++, Java, Kotlin und D
- Nachgelagerte Software, die eine verwundbare Thrift-Version einbindet, zum Beispiel Pakete mit 0.24.0 oder 0.22.0
Behoben in
- Apache Thrift 0.25.0 (0.24.0 genügt laut Berichten nachgelagerter Projekte nicht)
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden; das Aktualisieren auf 0.25.0 ist in den Quellen die einzige Abhilfe.
Ausnutzung
- Es sind keine Berichte über eine Ausnutzung in freier Wildbahn bekannt.
- Es ist kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Alle Systeme und Anwendungen mit Apache Thrift, einschliesslich transitiver Abhängigkeiten, mittels SBOM oder Dependency-Scanning identifizieren.
- Thrift auf 0.25.0 aktualisieren und die Anwendungen, die es einbinden, neu bauen oder neu ausrollen.
- Bis zur Behebung den Zugriff auf Thrift-Endpunkte auf vertrauenswürdige Netze beschränken.
- Auf auffälligen Speicherverbrauch und Dienstabstürze auf betroffenen Diensten achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread (vendor advisory) lists.apache.org
- OSV: DEBIAN-CVE-2026-82458 osv.dev
- OSV: BIT-thrift-2026-82458 osv.dev
- OSV: AZL-105407 (Azure Linux 3 thrift 0.24.0-1) osv.dev
- Apache announcement (mail-archive) www.mail-archive.com
- OpenMetadata pull request 35243 (0.24.0 not sufficient) github.com
- hapi-fhir issue 8678 (downstream dependency flag) github.com
- LinuxSecurity: Apache Thrift 0.25.0 release linuxsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.