Apache Thrift: Fehlende Standardbegrenzung der Zeichenkettenlänge in Python TJSONProtocol
Zusammenfassung
Apache Thrift vor 0.25.0 weist in der Python-Implementierung von TJSONProtocol eine standardmässig deaktivierte Begrenzung der Zeichenkettenlänge auf. Ein entfernter Angreifer, der präparierte Thrift-JSON-Nachrichten an einen Python-Dienst senden kann, der diese verarbeitet, kann Ressourcen erschöpfen und einen Denial-of-Service auslösen. Laut CVSS-4.0-Vektor sind keine Berechtigungen und keine Benutzerinteraktion erforderlich, die Auswirkung auf die Verfügbarkeit ist hoch.
Betroffen
- Apache Thrift, Python-Bindings: alle Versionen vor 0.25.0
- Standardkonfiguration: Die Schwachstelle betrifft die fehlende Standardbegrenzung; ohne explizit gesetzte Begrenzung besteht das Risiko
- Transitive Abhängigkeiten: Lock-Dateien prüfen, da einige Konnektoren Thrift auf Versionen unter 0.25.0 begrenzen
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
Umgehung
- Kein Workaround des Herstellers gefunden.
- Übergangsmassnahme (nicht aus einer Herstellerquelle): Anfragegrössen am Reverse Proxy oder auf Anwendungsebene begrenzen und einschränken, welche Hosts den Thrift-Dienst erreichen können.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar, partielle technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf aktive Ausnutzung gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Python-Dienste mit Thrift identifizieren, einschliesslich transitiver Abhängigkeiten, und prüfen, ob sie Thrift-JSON von nicht vertrauenswürdigen Netzwerkclients verarbeiten.
- Apache Thrift auf 0.25.0 oder neuer aktualisieren.
- Die Änderung der Standardbegrenzung der Zeichenkettenlänge in TBinaryProtocol auf 0.25.0 (etwa 16 MB) prüfen und bei grossen Nutzlasten explizite Überschreibungen setzen.
- Vor dem Schliessen des Tickets das Apache-Advisory direkt prüfen.
- Priorität: mittel bis hoch, wenn ein Dienst Netzwerkeingaben akzeptiert; niedrig, wenn Thrift nur intern hinter einer Authentifizierung verwendet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache list thread (CVE reference 1) lists.apache.org
- Apache list thread (CVE reference 2) lists.apache.org
- OSV record BIT-thrift-2026-94634 osv.dev
- Nixpkgs issue 569838 github.com
- Linux Security: Apache Thrift 0.25.0 message memory limits linuxsecurity.com
- Databricks SQL Python PR 975 github.com
- Databricks SQL Python issue 969 github.com
- Snyk package record: pip thrift security.snyk.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.