Apache Thrift JavaME-Bindings: Unkontrollierter Ressourcenverbrauch über JSON-Strings
Zusammenfassung
Die JavaME-Bindings von Apache Thrift begrenzen die Grösse der vom TJSONProtocol verarbeiteten Strings nicht. Ein Angreifer, der Nachrichten an einen Thrift-Dienst mit diesen Bindings senden kann, kann Ressourcen erschöpfen und einen Denial of Service auslösen. Die Schwachstelle ist in CVSS v4.0 als hoch eingestuft, betrifft aber nur die Verfügbarkeit, und die verwundbare Nutzung hängt von den Bedingungen im Einsatz ab.
Betroffen
- Apache Thrift vor 0.25.0 (JavaME-Bindings, TJSONProtocol)
- Genaue Liste der JavaME-spezifischen Versionen: Unbekannt.
Behoben in
- Apache Thrift 0.25.0
- Veröffentlichungsdatum laut einer sekundären Quelle: 30. September 2026; auf der Download-Seite von Apache prüfen.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden.
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt.
- Nicht im CISA-KEV-Katalog; CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Keine bekannte Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Prüfen, ob Thrift eingesetzt wird, insbesondere die JavaME-Bindings; mit Entwicklern oder dem Software-Inventar bestätigen.
- libthrift, wo vorhanden, auf Apache Thrift 0.25.0 oder neuer aktualisieren.
- Wenn ein über das Internet erreichbarer Thrift-Dienst diese Bindings nutzt, das Update priorisieren und die Exposition einschränken.
- Apache-Mailingliste und NVD auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread (vendor advisory) lists.apache.org
- OSV: BIT-thrift-2026-94657 osv.dev
- Rapid7 via Vulners vulners.com
- PSIRT.com CVE details psirt.com
- Linux Security: Apache Thrift 0.25.0 release linuxsecurity.com
- Red Hat details via OpenCVE app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.