Apache Thrift C++: Heap-basierter Pufferüberlauf in THeaderTransport
Zusammenfassung
Die C++-Implementierung von Apache Thrift enthält einen heap-basierten Pufferüberlauf in THeaderTransport::transform(), wenn für ausgehende Frames die ZLIB-Transformation aktiviert ist. Daten, die sich nicht komprimieren lassen, etwa von einem entfernten Peer gelieferte Inhalte, können die Puffergrösse überschreiten, sodass die Kopieroperation hinter das Ende des Heap-Puffers schreibt und bei grossen Frames zusätzlich hinter das Ende des Transformationspuffers liest. Ein Angreifer, der den betroffenen Dienst erreichen kann, kann diesen möglicherweise zum Absturz bringen oder Code ausführen; der CVSS-4.0-Basiswert beträgt 9.2 (Kritisch). Die Ausnutzbarkeit hängt davon ab, ob die Anwendung die ZLIB-Transformation aktiviert.
Betroffen
- Apache Thrift (C++), alle Versionen vor 0.25.0
- Nur Anwendungen, die die ZLIB-Transformation für THeader-Frames aktivieren, die sie senden
- Distributionspakete: exakte Builds im Advisory des jeweiligen Herstellers prüfen
Behoben in
- Apache Thrift 0.25.0
Umgehung
- Kein vom Hersteller veröffentlichter Workaround; das Aktualisieren auf 0.25.0 ist die empfohlene Behebung.
- Sofern die Anwendung dies erlaubt, die ZLIB-Transformation für THeader deaktivieren (nicht vom Hersteller bestätigt).
- Einschränken, welche Peers den Thrift-Dienst erreichen können (nicht vom Hersteller bestätigt).
Ausnutzung
- Zum Zeitpunkt der neuesten Quelle ist kein öffentlicher Proof-of-Concept bestätigt.
- Laut derselben Quelle nicht im CISA-KEV-Katalog aufgeführt; Katalog erneut prüfen.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- EPSS 0.0046 zum Zeitpunkt des Snapshots.
Unsere Empfehlung
- Inventarisieren, welche Anwendungen und Produkte C++-Thrift enthalten und ob sie die ZLIB-Transformation aktivieren.
- Betroffene Komponenten auf Apache Thrift 0.25.0 oder neuer aktualisieren oder den gepatchten Build aus dem Advisory der Distribution installieren.
- Bis zur Behebung den Netzwerkzugriff auf den Thrift-Dienst einschränken und diesen nicht ins Internet exponieren.
- Beachten, dass ein Update nur auf 0.24.0 diese CVE nicht behebt; sie ist ein separates Problem zu CVE-2026-55971.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- OSV: Apache Thrift affected versions osv.dev
- Vulners: CVE record mirror (NVD) vulners.com
- Vulners: Apache CNA record mirror vulners.com
- TheHackerWire: CVE-2026-91135 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.