Apache Thrift: Ressourcenerschöpfung über Lua TBinaryProtocol readMessageBegin
Zusammenfassung
Die Lua-Bindings von Apache Thrift enthalten einen Fehler in TBinaryProtocol:readMessageBegin, durch den die Prüfung checkStringSize für den Namen vor der Versionsangabe umgangen werden kann. Ein Angreifer, der präparierte Netzwerkdaten an einen Lua-basierten Thrift-Dienst senden kann, kann Ressourcen erschöpfen und einen Denial-of-Service auslösen. Das CNA stuft die Auswirkung nur als Verfügbarkeit ein, ohne Auswirkung auf Vertraulichkeit oder Integrität.
Betroffen
- Apache Thrift Lua-Bindings vor 0.25.0
- Andere Sprachbindings sind im CNA-Eintrag nicht als betroffen aufgeführt.
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
- Gepatchte Paketversionen für die meisten Distributionen: Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Bis zum Patch den Netzwerkzugriff auf Lua-basierte Thrift-Endpunkte auf bekannte Clients beschränken.
Ausnutzung
- Kein öffentlich bestätigter Exploit-Code zum jetzigen Zeitpunkt.
- Nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, automatable yes, technical impact partial.
- EPSS: 0.00426.
Unsere Empfehlung
- Prüfen, ob ein Thrift-Dienst die Lua-Bindings verwendet, beispielsweise OpenResty oder Lua-Dienste.
- Apache Thrift auf 0.25.0 oder ein gepatchtes Distributionspaket aktualisieren.
- Zusammen mit der verwandten CVE-2026-94658 (algorithmische Komplexität in Lua, ebenfalls in 0.25.0 behoben) patchen.
- Netzwerkexposition betroffener Dienste bis zum Patch einschränken.
- Hinweis: Widersprüchliche Drittquellen, die RCE beschreiben, wurden nicht verifiziert und gelten als Fehler.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache list thread 1 lists.apache.org
- Apache list thread 2 lists.apache.org
- OSV BIT-thrift-2026-94635 osv.dev
- Ubuntu security CVE-2026-94635 ubuntu.com
- Vulners CVE-2026-94635 vulners.com
- Linux Security news on Thrift 0.25.0 linuxsecurity.com
- Thrift changelog thrift.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.