Apache Thrift: Speicherleck in C++ THeaderTransport untransform
Zusammenfassung
Apache Thrift vor 0.25.0 gibt Speicher und Ressourcen nach Ablauf ihrer effektiven Lebensdauer nicht frei, betroffen ist THeaderTransport. Gemäss dem offiziellen CVE-Eintrag gibt die C++-Funktion untransform() auf einem Fehlerpfad den zlib-Stream nicht frei. Ein entfernter Angreifer, der präparierte Daten an einen netzwerkseitig erreichbaren Thrift-C++-Dienst senden kann, kann ohne Authentifizierung den Speicher erschöpfen und einen Denial-of-Service auslösen.
Betroffen
- Apache Thrift vor 0.25.0 (gemäss CVE-Eintrag; die C++-Implementierung ist die im Eintrag genannte Komponente)
- Andere Thrift-Bindings waren nicht Gegenstand dieser CVE; Details im Herstellerhinweis prüfen
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
- Den Tracker Ihrer Distribution für die genaue Paketversion prüfen
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Aktualisieren ist die Behebung.
- Falls ein Update noch nicht möglich ist, den Zugriff auf Thrift-C++-Dienste einschränken und den Speicherverbrauch dieser Prozesse überwachen.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Nicht im CISA-KEV-Katalog. Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Bei Software-Lieferanten und Entwicklern nachfragen, ob ein eingesetztes Produkt auf Thrift C++ basiert und Daten von nicht vertrauenswürdigen Gegenstellen annimmt.
- Installierte Thrift-Version prüfen und auf 0.25.0 oder ein gepatchtes Distributionspaket aktualisieren.
- Das Update behebt auch CVE-2026-91135 und CVE-2026-93925 im selben Release.
- Speicherverbrauch exponierter Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread (CVE reference) lists.apache.org
- Apache Thrift mailing list thread (CVE reference) lists.apache.org
- OSV: Apache Thrift CVE-2026-93926 record osv.dev
- OpenCVE: CVE-2026-93926 app.opencve.io
- Linux Security: Apache Thrift 0.25.0 release linuxsecurity.com
- Vulners: CVE-2026-93926 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.