Apache Thrift: Speicherauslastung über WebSocket-Framelänge in Node.js- und D-Bindings
Zusammenfassung
Die WebSocket-Server-Transports der Apache-Thrift-Sprachbindings für Node.js und D reservieren den Payload-Puffer anhand der im Frame-Header angegebenen Länge, bevor die Daten eingetroffen sind. Ein einzelner kleiner Frame von etwa 14 Bytes kann so dazu führen, dass der Prozess hunderte MiB bis 2 GiB Speicher belegt, was zu einer Denial-of-Service-Situation führt. Im Node.js-Fall bleibt die Verbindung offen, weshalb der Angriff wiederholt werden kann. Die Schwachstelle ist über das Netzwerk ohne Authentifizierung erreichbar, sofern der WebSocket-Server-Endpunkt exponiert ist.
Betroffen
- Apache Thrift vor 0.25.0
- Nur die WebSocket-Server-Transports der Sprachbindings für Node.js und D sind betroffen.
- Paketierte Distributionsversionen können abweichen; prüfen Sie die Herstellerinformationen zu Ihrer Paketversion.
Behoben in
- Apache Thrift auf Version 0.25.0 oder neuer aktualisieren.
- Distributionsspezifische korrigierte Versionen: Unbekannt.
Umgehung
- Keine Workaround in den Quellen dokumentiert.
- Prüfen, ob eine Anwendung den Thrift-WebSocket-Server-Transport in Node.js oder D verwendet.
- Falls ja, den Endpunkt nicht öffentlich aus dem Internet erreichbar machen oder mit einem Reverse Proxy oder einer Firewall-Allowlist einschränken.
- Speicherlimiten und Neustart-Richtlinien für den Dienst konfigurieren.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Der Status ist vor einer Entscheidung erneut zu prüfen.
Unsere Empfehlung
- Systeme und Anwendungen identifizieren, die Apache Thrift mit dem WebSocket-Server für Node.js oder D verwenden.
- Auf Apache Thrift 0.25.0 oder neuer aktualisieren; diese Version behebt auch CVE-2026-85494.
- Bis zur Korrektur den Netzwerkzugriff auf den WebSocket-Endpunkt einschränken und Speicherlimiten für den Dienst setzen.
- Speicherverbrauch und Neustarts betroffener Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- Ubuntu security notice ubuntu.com
- OSV: Azure Linux status osv.dev
- OSV: Debian tracker osv.dev
- OSV: related CVE-2026-85494 osv.dev
- Tenable CVE record www.tenable.com
- OpenCVE record app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.