Apache Thrift PHP-Bindings: Ressourcenerschöpfung durch unbegrenzte TJSON-Reader
Zusammenfassung
Die PHP-Bindings von Apache Thrift vor 0.25.0 begrenzen die Grösse von Strings und Zahlen nicht, die durch das TJSONProtocol gelesen werden. Ein entfernter, nicht authentifizierter Angreifer kann manipulierte Thrift-JSON-Eingaben an einen PHP-Dienst senden, der unvertrauenswürdige Daten verarbeitet, und so Ressourcen erschöpfen und einen Denial-of-Service auslösen. Gemäss CVSS-Vektor sind Vertraulichkeit und Integrität nicht betroffen. Die Exponierung hängt davon ab, ob eine PHP-Anwendung Thrift mit dem TJSON-Protokoll nutzt und Eingaben aus unvertrauenswürdigen Quellen akzeptiert.
Betroffen
- Apache Thrift PHP-Bibliothek (apache/thrift auf Packagist) vor 0.25.0
- Standardkonfiguration: nicht betroffen
- Downstream: Azure Linux 3 thrift 0.24.0-1 als betroffen aufgeführt, keine korrigierte Version gefunden
Behoben in
- Apache Thrift 0.25.0
- Red Hat Hardened Images: thrift 0.25.0-0.1.hum1
- openSUSE: libthrift-0_25_0-0.25.0-1.1
- Status der Korrekturen für Debian und Ubuntu: Unbekannt.
Umgehung
- Das Aktualisieren ist die primäre Korrektur; ein vom Hersteller dokumentierter Workaround ist nicht bekannt.
- Falls das Aktualisieren verzögert wird, den Kreis der Clients begrenzen, die Thrift-/TJSON-Eingaben an den PHP-Dienst senden können.
- Anfragegrössen auf Webserver oder Reverse Proxy begrenzen (allgemeine Härtung, nicht vom Hersteller dokumentiert).
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- CISA KEV: nicht gelistet (laut einem Aggregator).
- EPSS: 0.00426.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- PHP-Anwendungen identifizieren, die die Thrift-Bibliothek nutzen, zum Beispiel über Composer-Lock-Dateien.
- Auf Thrift 0.25.0 oder einen Hersteller-Build mit der Korrektur aktualisieren.
- Dienste priorisieren, die aus dem Internet oder von Partnern erreichbar sind.
- CVE-2026-94638 gleichzeitig patchen, da dieselbe Korrekturversion gilt.
- Dienste auf ungewöhnlichen Ressourcenverbrauch überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- Apache Thrift PR 3949 (TJSON max string size) github.com
- OSV BIT-thrift-2026-94644 osv.dev
- Red Hat RHSA-2026:74369 via Vulners vulners.com
- CVE record mirror via Vulners vulners.com
- OSV AZL-106587 (Azure Linux 3) osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.