Apache Thrift Java: Ressourcenleck in TSaslNonblockingServer
Zusammenfassung
Die Java-Bindings von Apache Thrift geben in TSaslNonblockingServer keine Verbindung frei, wenn vor der Authentifizierung ein Parse-Fehler auftritt. Ein entfernter, nicht authentifizierter Angreifer kann eine fehlerhafte Anfrage senden und so Serverressourcen erschöpfen, was zu einem Denial of Service führt. Der CVSS-4.0-Basiswert beträgt 8.2 (Hoch), die Auswirkung beschränkt sich jedoch auf die Verfügbarkeit; Datendiebstahl oder Codeausführung sind nicht dokumentiert.
Betroffen
- Apache Thrift (Java-Bindings, Maven org.apache.thrift:libthrift) vor 0.25.0
- Azure-Linux-Paket thrift 0.24.0-1 (laut Azure-Linux-Advisory)
- Nachgelagerte Produkte, die eine ältere libthrift-Version mitliefern
Behoben in
- Apache Thrift 0.25.0 oder neuer
- openSUSE: thrift 0.25.0-1.1
- Debian und nachgelagerte Hersteller: Unbekannt, fixe Version nicht bekannt
Umgehung
- Unbekannt. Es wurde keine offizielle Workaround-Massnahme gefunden; das Aktualisieren ist die einzige dokumentierte Behebung.
- Dienste, die die Java-Klasse TSaslNonblockingServer nicht verwenden, sind vermutlich nicht betroffen (Annahme, im eigenen Code prüfen).
Ausnutzung
- Bekannte Ausnutzung: keine. CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Öffentlicher Proof of Concept: keiner gefunden.
- Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- libthrift-Versionen in Java-Anwendungen und SBOMs inventarisieren.
- libthrift dort auf 0.25.0 oder neuer aktualisieren, wo Sie den Code kontrollieren.
- Wenn ein Drittprodukt eine ältere Version mitliefert, beim Hersteller einen gepatchten Build anfordern oder die Abhängigkeitsversion überschreiben.
- CVE-2026-61373 (im selben Apache-Release, ebenfalls in 0.25.0 behoben) zusammen mit dieser Lücke patchen.
- Öffentlich erreichbare Java-Thrift-Dienste mit SASL-Non-Blocking-Modus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- OSV: Apache Thrift entry osv.dev
- OpenCVE CVE-2026-94651 app.opencve.io
- SUSE CVE via Vulners vulners.com
- Azure Linux advisory via OSV osv.dev
- Apache announcement archive www.mail-archive.com
- Related CVE-2026-61373 via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.