Apache Thrift dart bindings: Denial of Service durch unbegrenzte String-Grösse im JSON-Protokoll
Zusammenfassung
Die dart-Bindings von Apache Thrift, konkret die Komponenten TJsonProtocol/TJSONProtocol, begrenzen die Grösse der verarbeiteten Strings nicht. Ein entfernter, nicht authentifizierter Angreifer kann eine speziell gestaltete Eingabe an eine Dart-Anwendung senden, die Thrift JSON verarbeitet, was zu einer Erschöpfung des Speichers und einem Denial of Service führen kann. Laut CVSS-Vektor sind keine Codeausführung und keine Datenabfluss vorgesehen.
Betroffen
- Apache Thrift vor 0.25.0 (dart-Bindings)
- Einige Distributionspakete bis thrift 0.24.0-1 (zum Beispiel Debian bookworm, Azure Linux); Build für diese CVE prüfen.
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
- Distributions-Builds: Red Hat listet die behobenen Builds als kleiner als 0.25.0-1; genaue Paketversionen dem Advisory der jeweiligen Distribution entnehmen.
Umgehung
- Es ist kein vom Hersteller veröffentlichter Workaround bekannt.
- Die Grösse eingehender Thrift-JSON-Daten auf Transport- oder Applikationsebene begrenzen.
- Thrift JSON aus nicht vertrauenswürdigen Quellen bis zur Behebung nicht verarbeiten.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden.
- EPSS 0.00426 (geringe Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Dart- oder Flutter-Projekte und Backends ermitteln, die Apache Thrift verwenden (zum Beispiel über eine Inventarisierung der pubspec.yaml-Dateien).
- Auf Apache Thrift 0.25.0 oder den behobenen Build der Distribution aktualisieren.
- Falls ein Update nicht zeitnah möglich ist, Grössenbeschränkungen für Eingaben anwenden und nicht vertrauenswürdiges Thrift JSON nicht verarbeiten.
- Die Primärquellen auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread (CVE record reference) lists.apache.org
- Apache Thrift mailing list thread (CVE record reference) lists.apache.org
- OSV: BIT-thrift-2026-94648 osv.dev
- Linux Security: Apache Thrift 0.25.0 message memory limits linuxsecurity.com
- Vulners: CVE-2026-94648 vulners.com
- Vulners: Red Hat RHSA-2026:74369 for CVE-2026-94648 vulners.com
- OSV: Debian CVE-2026-94648 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.