Apache Thrift: Denial of Service über JSON-Membernamen in Node.js-Bindings
Zusammenfassung
Die Node.js-Bindings von Apache Thrift können in Kombination mit dem Serialisierer TJSONProtocol durch einen präparierten JSON-Membernamen blockiert werden, sodass die Event Loop unbegrenzt hängt. Ein Angreifer, der Thrift-JSON-Nachrichten an einen exponierten Dienst senden kann, kann so einen Denial of Service auslösen. Gemäss CVE-Eintrag wird die Schwachstelle als Endlosschleife und als Prototype Pollution (CWE-835, CWE-1321) eingestuft. Für die Ausnutzung sind keine Berechtigungen und keine Benutzerinteraktion nötig.
Betroffen
- Apache Thrift vor 0.25.0 (gemäss Herstellerangabe betroffene Versionen 0 bis < 0.25.0)
- Vor allem relevant für Node.js-Dienste, die Thrift-JSON-Nachrichten mit TJSONProtocol decodieren
- Distributionspakete: Azure Linux thrift 0.24.0-1 ist betroffen; Ubuntu-Status: Needs evaluation
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
Umgehung
- Keine herstellerseitige Workaround-Massnahme dokumentiert. Das Upgrade auf 0.25.0 ist die Behebung.
- Falls das Patchen verzögert wird, empfiehlt eine Drittquelle, den Zugriff auf den Thrift-Dienst auf vertrauenswürdige Clients und Netze zu beschränken, fehlerhaftes JSON vor dem Decoder zu validieren oder zu ratenbegrenzen und die Latenz der Node.js-Event-Loop zu überwachen. Dies ist keine Empfehlung des Herstellers.
Ausnutzung
- Zum Zeitpunkt der Recherche sind keine Ausnutzungen in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog gelistet; kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- EPSS 0.0034 (etwa 0.3% in 30 Tagen).
Unsere Empfehlung
- Node.js-Dienste identifizieren, die Apache Thrift verwenden, und die installierte Version mit 0.25.0 vergleichen.
- Dort, wo das JSON-Protokoll verwendet wird, auf Apache Thrift 0.25.0 aktualisieren.
- Prüfen, ob Dienste Thrift-JSON aus unvertrauenswürdigen Netzen annehmen, und den Zugriff prioritär einschränken.
- Prüfen, ob der JavaScript-Code nach dem Upgrade neu generiert werden muss, wie für das verwandte CVE-2026-86536 angegeben.
- Die Latenz der Node.js-Event-Loop auf Anzeichen von Blockaden überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache advisory thread 1 lists.apache.org
- Apache advisory thread 2 lists.apache.org
- Apache Thrift v0.25.0 release github.com
- Apache Thrift download page thrift.apache.org
- OSV BIT-thrift-2026-86535 osv.dev
- Ubuntu CVE-2026-86535 ubuntu.com
- Tenable CVE-2026-86535 www.tenable.com
- OpenCVE CVE-2026-86535 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.