Apache Thrift c_glib: Unkontrollierte Rekursion führt zu Denial of Service
Zusammenfassung
Die c_glib-Bindings von Apache Thrift enthalten eine Schwachstelle in ihren generierten Struct-Readern, die keine Begrenzung der Rekursionstiefe besitzen. Ein entfernter, nicht authentifizierter Angreifer kann manipulierte Daten senden, die eine unkontrollierte Rekursion auslösen und den nativen Stack erschöpfen, wodurch die betroffene Anwendung oder der Dienst abstürzt. Der CVSS-v4.0-Basiswert beträgt 8.2 (Hoch), wobei sich die Auswirkungen auf die Verfügbarkeit beschränken; eine Ausnutzung oder ein öffentlicher Proof of Concept wurde nicht gefunden.
Betroffen
- Apache Thrift c_glib-Bindings vor 0.25.0
- Standardkonfigurationen sind gemäss CNA-Eintrag nicht betroffen.
Behoben in
- Apache Thrift 0.25.0
- openSUSE Tumbleweed: 0.25.0-1.1
- Bitnami: 0.25.0
- Andere Paketversionen von Distributionen: Unbekannt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Falls ein sofortiges Update nicht möglich ist, den Netzwerkzugriff auf Dienste beschränken, die die c_glib-Bindings einbetten.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- EPSS: 0.00426.
Unsere Empfehlung
- Software ermitteln, die die Thrift-c_glib-Bindings nutzt, einschliesslich Produkten von Drittanbietern und Open-Source-Software.
- Thrift auf 0.25.0 oder neuer aktualisieren oder das gepatchte Paket des Herstellers installieren.
- Changelog der Distribution prüfen, um sicherzustellen, dass der Fix enthalten ist.
- Netzwerkexposition betroffener Dienste bis zum Patch einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache lists thread 33otcgbqd27wf6qq810q56znzbomnhg1 lists.apache.org
- Apache lists thread poskkt3p754b2f293g63934hw160o86j lists.apache.org
- CVE record mirror (Vulners) vulners.com
- OSV Ubuntu CVE-2026-94650 osv.dev
- OSV Bitnami thrift 0.25.0 advisory osv.dev
- SUSE CVE mirror (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.