Apache Thrift: Denial of Service im PHP-Accelerator thrift_protocol
Zusammenfassung
Die PHP-Bindings von Apache Thrift vor Version 0.25.0 enthalten eine Schwachstelle im PHP-Accelerator thrift_protocol, die mit Container-Elementen der Länge null und fehlenden Begrenzungen der Ressourcenzuweisung und Iteration zusammenhängt. Ein entfernter Angreifer, der präparierte Daten an einen PHP-Dienst mit Thrift senden kann, kann möglicherweise Ressourcen erschöpfen und einen Denial of Service auslösen. Der CVSS-4.0-Basiswert beträgt 8.7 (Hoch), wobei sich die Auswirkungen auf die Verfügbarkeit beschränken.
Betroffen
- Apache Thrift (PHP-Bindings) vor 0.25.0
- Pakete mit der Kennung pkg:composer/apache/thrift vor 0.25.0
Behoben in
- Apache Thrift 0.25.0 (gemäss Mailingliste des Herstellers und Sekundärquellen; Herstellerhinweis noch nicht verifiziert)
- Distributionspakete: Unbekannt. Ubuntu führt das Paket thrift als "Needs evaluation".
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Netzwerkzugriff auf den Thrift-Dienst einschränken, bis das Update abgeschlossen ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht in der CISA KEV gelistet. Der EPSS-Wert ist niedrig (0.00426).
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- PHP-Anwendungen und eingebundene Bibliotheken (Composer-Lock-Dateien, Linux-Pakete, Herstelleranwendungen) auf Apache Thrift unterhalb 0.25.0 prüfen.
- Auf Apache Thrift 0.25.0 oder neuer aktualisieren, zuerst Dienste, die von ausserhalb des internen Netzwerks erreichbar sind.
- Vor der Change-Freigabe den Fix im Apache-Mailinglisten-Thread bestätigen.
- Netzwerkexposition von Thrift-Endpunkten einschränken und auf ungewöhnlichen Ressourcenverbrauch oder Dienstausfälle achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- Ubuntu Security CVE-2026-91137 ubuntu.com
- Vulners CVE-2026-91137 vulners.com
- GitHub issue astruzocyber/CVE #1090 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.