Apache Thrift: Umgehung des Dekomprimierungsgrössenlimits in Python TZlibTransport
Zusammenfassung
Die Python-Bindings von Apache Thrift (PyPI-Paket thrift) enthalten eine Schwachstelle in TZlibTransport, die das Limit für die dekomprimierte Datengrösse nicht mehr durchsetzt, sobald dieses genau erreicht ist. Ein Angreifer, der komprimierte Thrift-Daten an einen verwundbaren Python-Dienst senden kann, könnte eine Ressourcenerschöpfung und einen Denial of Service auslösen. Der CVSS-4.0-Basiswert beträgt 8.2, der Vektor zeigt jedoch nur eine Auswirkung auf die Verfügbarkeit und keine Auswirkung auf Vertraulichkeit oder Integrität.
Betroffen
- Apache Thrift vor 0.25.0 (Python-Bindings, PyPI-Paket thrift)
- Linux-Distributionspakete von thrift unterhalb 0.25.0-1 (zum Beispiel Azure Linux, gemäss Herstellerangaben)
- Debian-12-Paketversionen: genaue Versionen unbekannt, siehe Debian-Tracker
Behoben in
- Apache Thrift 0.25.0
- Azure Linux: 0.25.0-1 oder neuer
- Debian und weitere Distributionen: Distributions-Tracker prüfen, fixe Versionen nicht vollständig bestätigt
Umgehung
Unbekannt.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Gemäss einer Sekundärquelle ist kein öffentlicher Exploit-Code bestätigt (nicht verifiziert).
- Gemäss einer Sekundärquelle nicht im CISA-KEV-Katalog aufgeführt (nicht verifiziert).
Unsere Empfehlung
- Python-Anwendungen und Linux-Pakete inventarisieren, die die Bibliothek thrift verwenden, einschliesslich indirekter Abhängigkeiten.
- Auf Apache Thrift 0.25.0 oder das gefixte Paket der Linux-Distribution aktualisieren.
- Prüfen, dass keine Anwendung eine ältere thrift-Version fixiert (zum Beispiel unterhalb 0.25.0), da solche Pins den Fix blockieren können.
- Internetexponierte Dienste mit Thrift-Verkehr priorisieren.
- Beachten, dass 0.25.0 auch das frühere Problem CVE-2026-41608 (behoben in 0.24.0) abdeckt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OSV: DEBIAN-CVE-2026-94636 osv.dev
- Vulners: CVE-2026-94636 vulners.com
- Strix: CVE-2026-94636 www.strix.ai
- Vulners: CBL-Mariner CBLMARINER:105410 vulners.com
- Apache mailing list thread (1rpq0d0g) lists.apache.org
- Apache mailing list thread (33otcgbq) lists.apache.org
- Databricks SQL Python PR 975 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.