Apache Thrift: Denial of Service durch unbegrenzte Längenverarbeitung in Bindings
Zusammenfassung
Mehrere Sprachbindings von Apache Thrift (u. a. Python, Ruby, PHP und Perl) lesen vom Gegenüber angegebene Pufferlängen ohne jede Begrenzung. Ein entfernter, nicht authentifizierter Angreifer, der präparierte Nachrichten an einen Thrift-basierten Dienst senden kann, kann Ressourcen erschöpfen und einen Denial of Service auslösen. Vertraulichkeit und Integrität sind nicht betroffen, und der Angriff setzt voraus, dass ein Thrift-Dienst aus dem Netz des Angreifers erreichbar ist.
Betroffen
- Apache Thrift vor 0.25.0, für die betroffenen Sprachbindings: Python, Ruby, Erlang, Lua, Dart, JavaME, Perl, PHP und D.
- Distributionspakete: Die genaue korrigierte Paketversion entnehmen Sie dem Advisory Ihrer Distribution.
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026, laut Berichten Dritter).
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Lösung bekannt. Das Aktualisieren ist die vom Hersteller genannte Massnahme.
- Thrift-Dienste bis zum Patch von nicht vertrauenswürdigen Netzen fernhalten und Nachrichtengrössen an einem Reverse Proxy oder einer Firewall begrenzen (allgemeine Massnahme, keine Herstellervorgabe).
Ausnutzung
- Kein öffentlicher Proof-of-Concept bekannt.
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. Nicht gegen den CISA-KEV-Katalog verifiziert.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Ermitteln Sie Software in Ihrer Umgebung, die Apache Thrift einbettet, insbesondere Komponenten mit öffentlicher Schnittstelle.
- Aktualisieren Sie betroffene Komponenten auf Apache Thrift 0.25.0 oder die korrigierte Paketversion des Herstellers, und priorisieren Sie dabei aus dem Internet erreichbare Dienste.
- Beschränken Sie den Zugriff auf Thrift-Ports auf vertrauenswürdige Netze und überwachen Sie diese Dienste auf Ressourcenerschöpfung oder Abstürze.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread (vendor, first reference in CVE record) lists.apache.org
- Apache Thrift mailing list thread (second reference in CVE record) lists.apache.org
- Apache Thrift 0.25.0 release news (LinuxSecurity) linuxsecurity.com
- NVD summary (Vulners) vulners.com
- CVE list record (Vulners) vulners.com
- CBL-Mariner advisory (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.