Apache Thrift Dart-Bindings: Übermässige Speicherreservierung in TBinaryProtocol
Zusammenfassung
Die Dart-Bindings von Apache Thrift reservieren Speicher anhand eines Längenwerts aus dem vor der Versionierung stehenden Namen in readMessageBegin von TBinaryProtocol, bevor die Nachricht geprüft wird. Ein Angreifer, der präparierte Thrift-Nachrichten an einen betroffenen Dart-Dienst senden kann, kann den Speicher erschöpfen und einen Denial-of-Service auslösen. Nur Anwendungen, die die Dart-Bindings verwenden, sind betroffen; die Java- und C++-Bindings nicht.
Betroffen
- Apache Thrift-Versionen vor 0.25.0, die die Dart-Bindings verwenden
- Java- und C++-Bindings sind nicht betroffen
Behoben in
- Apache Thrift 0.25.0
- Behobene Dart-Paketversion: Unbekannt.
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme. Netzwerkzugriff auf betroffene Dienste einschränken, bis sie aktualisiert sind.
Ausnutzung
- Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung in freier Wildbahn, keinen öffentlichen Proof of Concept und keinen Eintrag im CISA KEV gefunden (KEV nicht direkt abgefragt).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- EPSS-Wert 0.00426 (niedrig).
Unsere Empfehlung
- Dart- und Flutter-Anwendungen sowie Thrift-basierte Dienste inventarisieren.
- Verwendete Thrift-Dart-Paketversionen ermitteln und auf eine Version mit Apache Thrift 0.25.0 aktualisieren.
- Prüfen, ob betroffene Dienste aus dem Internet erreichbar sind, und den Zugriff einschränken, wo er nicht benötigt wird.
- Das Update deckt auch CVE-2026-94648 ab (Dart-JSON-Protokoll, ebenfalls in 0.25.0 behoben).
- NVD (Status Deferred), CISA KEV und die Apache-Advisories auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- OSV: BIT-thrift-2026-94633 osv.dev
- Ubuntu security notice CVE-2026-94633 ubuntu.com
- OpenCVE CVE-2026-94633 app.opencve.io
- Vulners CVE-2026-94633 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.