Apache Thrift Ruby-Bindings: Ressourcenerschöpfung durch unbegrenzte JSON-Stringgrösse
Zusammenfassung
Die Ruby-Bindings von Apache Thrift (Gem thrift) enthalten eine Schwachstelle in der Komponente TJsonProtocol, die die Grösse der verarbeiteten Strings nicht begrenzt. Ein Angreifer aus dem Netzwerk kann über speziell aufbereitete JSON-Daten an einen Ruby-Dienst, der dieses Protokoll verwendet, Ressourcen erschöpfen und einen Denial of Service auslösen. Gemäss Dokumentation sind keine Auswirkungen auf Vertraulichkeit oder Integrität bekannt, und der Angriff erfordert weder Authentifizierung noch Benutzerinteraktion. Die Gefährdung hängt davon ab, ob eine Anwendung mit dem JSON-Protokoll von Thrift für Ruby nicht vertrauenswürdige Eingaben entgegennimmt.
Betroffen
- Apache Thrift (Ruby-Bindings, Gem thrift) vor 0.25.0
- Versionen 0 bis unter 0.25.0 sind betroffen; die Standardkonfiguration ist gemäss CNA-Eintrag nicht betroffen
Behoben in
- Apache Thrift 0.25.0 (Gem thrift 0.25.0)
- Feste Paketversionen der Distributionen: Unbekannt.
Umgehung
- Vom Hersteller ist kein Workaround dokumentiert.
- Übergangsmassnahmen (eigene Empfehlung, nicht aus einer Quelle): Requestgrössen am Reverse Proxy begrenzen und nicht vertrauenswürdige Eingaben nicht an das JSON-Protokoll für Ruby übergeben.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Keine Hinweise gefunden; Status im CISA KEV nicht bestätigt.
- Öffentlicher Proof of Concept: In den geprüften Indizes nicht gefunden; dies beweist nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Ruby-Projekte, Gemfile.lock-Dateien, vendorisierte Gems und Container-Images auf das Gem thrift prüfen.
- Betroffene Instanzen, die nicht vertrauenswürdige Eingaben entgegennehmen, auf thrift 0.25.0 aktualisieren.
- Pakete von Ubuntu, Debian und Azure Linux auf feste Versionen prüfen.
- NVD-Status (Deferred) und CISA KEV auf Änderungen überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache lists thread 1 lists.apache.org
- Apache lists thread 2 lists.apache.org
- RubyGems thrift 0.24.0 rubygems.org
- OSV Ubuntu CVE-2026-94656 osv.dev
- Vulners CVE-2026-94656 vulners.com
- OSV Azure Linux AZL-105932 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.