Apache Thrift: Unkontrollierte Rekursion in Dart- und Java-ME-Bindings
Zusammenfassung
Die Dart- und Java-ME-Bindings von Apache Thrift, einem sprachübergreifenden RPC- und Serialisierungsframework, begrenzen beim Decodieren von vom Gegenüber gelieferten Daten die Verschachtelungstiefe nicht. Ein entfernter, nicht authentifizierter Angreifer kann speziell präparierte Anfragen senden, die übermässige Rekursion auslösen, Systemressourcen erschöpfen und den betroffenen Dienst zum Absturz bringen (Denial of Service). Das Problem ist nur relevant, wenn ein Dienst, der auf diesen Bindings basiert, Netzwerkeingaben von nicht vertrauenswürdigen Parteien akzeptiert.
Betroffen
- Apache Thrift vor 0.25.0, Dart- und Java-ME-Bindings
- Andere Sprachbindings werden im CVE-Eintrag nicht genannt
- Debian 12 (thrift) ist laut OSV als betroffen aufgeführt
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026 laut einer Sekundärquelle; auf der Apache-Release-Seite prüfen)
- Unbekannt: genaue Paketversionen mit Korrektur für Debian und Ubuntu
Umgehung
- Unbekannt: Der CVE-Eintrag nennt keine Workaround-Massnahme.
- Falls ein Update verzögert wird, den Zugriff auf die betroffenen Dienste auf bestimmte Hosts beschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Nicht im KEV-Katalog der CISA gelistet.
- Kein Proof of Concept gefunden; Status wird als unbekannt behandelt.
Unsere Empfehlung
- Code, Container und Paketlisten nach Apache Thrift durchsuchen und ermitteln, welche Sprachbindings verwendet werden.
- Wo Dart- oder Java-ME-Bindings auf netzwerkexponierten Diensten laufen, das Update auf 0.25.0 oder das Distributionspaket planen.
- Den Netzwerkzugriff auf betroffene Dienste bis zur Korrektur einschränken.
- Die Apache-Mailinglisten-Threads und den NVD-Eintrag auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- Apache Thrift changelog thrift.apache.org
- OSV: Debian CVE record osv.dev
- OpenCVE CVE record app.opencve.io
- Vulners CVE record vulners.com
- Red Hat advisory RHSA-2026:74369 vulners.com
- Linux Security news on Apache Thrift 0.25.0 linuxsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.