Apache Thrift: Quadratische Laufzeit bei der Pufferverarbeitung in Lua-Bindings
Zusammenfassung
Die Lua-Sprachbindings von Apache Thrift zerlegen den Puffer bei jedem Lesevorgang in TFramedTransport und THttpTransport neu, was zu einer quadratischen Verarbeitungszeit führt. Ein entfernter Angreifer, der präparierte Eingaben an einen Lua-Dienst senden kann, der Thrift-Daten verarbeitet, kann übermässige CPU-Last und einen Denial-of-Service auslösen. Betroffen sind nur Anwendungen, die Thrift aus Lua heraus verwenden und untrusted Netzwerkeingaben akzeptieren.
Betroffen
- Apache Thrift (Lua-Bindings) vor 0.25.0
- Debian-Pakete von thrift, die bis 0.24.0 in bookworm und trixie als betroffen gelistet sind
- Azure Linux 3-Pakete bis 0.24.0-1
- Ubuntu und andere Distributionen: Unbekannt.
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. Sep. 2026)
- Debian: Keine korrigierte Paketversion gefunden.
- Azure Linux 3 und Ubuntu: Unbekannt.
Umgehung
In den geprüften Quellen ist kein Workaround dokumentiert. Das Upgrade auf Thrift 0.25.0 ist die einzige dokumentierte Abhilfe.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact partial.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden. Dies ist kein definitiver Negativbefund.
- Der NVD-Status lautet im bereitgestellten Datensatz Deferred.
Unsere Empfehlung
- Prüfen Sie, ob eine Anwendung oder ein Gerät in Ihrer Umgebung Thrift aus Lua heraus verwendet. Falls nicht, wird die Komponente nicht eingesetzt.
- Falls sie verwendet wird, aktualisieren Sie auf Apache Thrift 0.25.0 oder auf ein Distributionspaket mit der Korrektur.
- Bis zur Behebung schränken Sie den Netzwerkzugriff auf Thrift-Endpunkte ein und erzwingen Grenzwerte für Anfragegrösse und Timeouts auf Anwendungs- oder Reverse-Proxy-Ebene.
- Überwachen Sie diese Dienste auf CPU-Spitzen.
- Patchen Sie die verwandten Schwachstellen CVE-2026-94655 und CVE-2026-96292 zusammen mit dieser Lücke.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list thread 1 lists.apache.org
- Apache Thrift mailing list thread 2 lists.apache.org
- OSV: Debian record CVE-2026-94658 osv.dev
- OSV: Bitnami record BIT-thrift-2026-94655 osv.dev
- OSV: Azure Linux record AZL-106596 osv.dev
- Linux Security: Apache Thrift 0.25.0 release linuxsecurity.com
- Rapid7 via Vulners: CVE-2026-94658 vulners.com
- Apache Thrift CHANGES.md apache.googlesource.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.