Apache Thrift: Unbegrenztes Wachstum des Zeilenpuffers in C++ THttpTransport
Zusammenfassung
Apache Thrift in Versionen vor 0.25.0 ist betroffen. Der THttpTransport in C++ vergrössert seinen Zeilenpuffer ohne Begrenzung, was mit einem heap-basierten Pufferüberlauf, einem Integer-Überlauf und fehlenden Ressourcenlimiten zusammenhängt (CWE-122, CWE-190, CWE-770). Gemäss dem gelieferten CVSS-v4.0-Vektor (9.2, Critical) könnte ein Angreifer ohne Authentifizierung und ohne Benutzerinteraktion Ressourcen erschöpfen oder den Speicher beschädigen, sofern ein netzwerkseitig erreichbarer Thrift-Dienst diesen Codepfad nutzt. Der NVD-Status lautet Deferred, der Vektor wurde nicht gegen NVD verifiziert.
Betroffen
- Apache Thrift vor 0.25.0 (gemäss CVE-Eintrag betroffener Bereich 0 bis < 0.25.0)
- Vermutlich die C++-Anbindung mit HTTP-Transport (THttpTransport); im Advisory nicht bestätigt
- Distributionspakete: Versionen unterhalb des distributionsspezifischen Fix-Pakets, z. B. thrift kleiner als 0.25.0-1 (Azure Linux)
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 2. Oktober 2026)
- Distributionspakete: die korrigierte Paketversion aus dem Tracker Ihrer Distribution verwenden
Umgehung
- Unbekannt. Der CVE-Eintrag und die Herstellerquellen nennen keine Umgehungsmassnahme.
- Die Einschränkung des Netzwerkzugriffs auf Thrift-Endpunkte bis zur Aktualisierung ist eine mögliche Übergangsmassnahme, jedoch keine vom Hersteller bestätigte Korrektur.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept bekannt
- Gemäss einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog enthalten (Abgleich mit dem offiziellen Katalog ausstehend)
Unsere Empfehlung
- Alle Thrift-Verwendungen inventarisieren, einschliesslich Systempakete, Container, eingebundener Bibliotheken und Drittanbieterprodukte.
- Auf Apache Thrift 0.25.0 oder das korrigierte Distributionspaket aktualisieren.
- Den Netzwerkzugriff auf Thrift-Endpunkte bis zur Behebung einschränken.
- Softwarehersteller fragen, ob ihre Produkte Thrift verwenden und ob eine korrigierte Version verfügbar ist.
- Auf Anzeichen einer Ausnutzung achten und den NVD-Eintrag nach Abschluss der Analyse prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- OpenCVE: CVE-2026-83632 app.opencve.io
- SUSE CVE via Vulners: CVE-2026-83632 vulners.com
- SecurityOnline: Apache Thrift 0.25.0 vulnerabilities securityonline.info
- Strix: CVE-2026-83632 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.