Apache Thrift D-Bindings: Denial of Service über abgeschnittene HTTP-Anfrage
Zusammenfassung
Die D-Sprachbindings von Apache Thrift enthalten mehrere Fehler, darunter eine nicht abgefangene Ausnahme, eine Endlosschleife und einen Integer-Unterlauf. Eine abgeschnittene HTTP-Anfrage bringt den Server der D-Bibliothek zum Stillstand, wodurch ein nicht authentifizierter Angreifer aus dem Netz einen Denial of Service auslösen kann. Relevant ist dies nur, wenn ein mit den D-Bindings erstellter Thrift-Server aus nicht vertrauenswürdigen Netzen erreichbar ist.
Betroffen
- Apache Thrift D-Sprachbindings, Versionen vor 0.25.0 (gemäss CVE-Eintrag der Apache Software Foundation: betroffen 0 bis < 0.25.0)
Behoben in
- Aktualisierung auf Apache Thrift 0.25.0 (veröffentlicht am 30.09.2026)
- Distributionspakete: Prüfen Sie den Tracker Ihres Herstellers, da die korrigierten Paketversionen nicht für alle Distributionen bestätigt wurden
Umgehung
- Vom Hersteller nicht bekannt.
- Allgemeine Option (nicht vom Hersteller, nicht getestet): fehlerhafte oder übermässig abgeschnittene HTTP-Anfragen an einem Reverse Proxy oder einer Firewall filtern, z. B. durch Begrenzung der Anfragegrösse und Prüfung der HTTP-Syntax, bevor sie den Thrift-Server erreichen
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
- Keine bekannte Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden (dies beweist nicht, dass keiner existiert)
- EPSS 0.00553 (Tenable)
- CISA-KEV-Status nicht geprüft
Unsere Empfehlung
- Anwendungen inventarisieren, die Thrift-D-Bindings verwenden, einschliesslich Herstellersoftware, die sie einbindet, und beim Hersteller den Status erfragen
- Wo möglich auf Apache Thrift 0.25.0 aktualisieren; diese Version behebt auch verwandte D-Probleme wie CVE-2026-85494
- Falls ein Upgrade nicht zeitnah möglich ist, den Netzwerkzugriff auf den Thrift-Dienst einschränken und abgeschnittene HTTP-Anfragen an einem Reverse Proxy oder einer Firewall filtern
- Auf Dienstabstürze oder Hänger von Thrift-Servern achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- OSV: BIT-thrift-2026-86537 osv.dev
- Apache Thrift download page thrift.apache.org
- Apache Thrift CHANGES.md apache.googlesource.com
- Tenable CVE-2026-86537 www.tenable.com
- OpenCVE CVE-2026-86537 app.opencve.io
- openSUSE SUSE-CVE CVE-2026-86537 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.