Apache Thrift Ruby-Bindings: Denial of Service durch unbehandelte Exception
Zusammenfassung
Die Ruby-Bindings von Apache Thrift (thrift-Gem) behandeln bestimmte Exceptions, die nicht zu Transport oder Protokoll gehören, nicht korrekt. Die serve()-Schleife des SimpleServer endet bei einer solchen Exception, wodurch der Dienst stillsteht. Ein nicht authentifizierter Angreifer, der einen Ruby-Thrift-Server über das Netzwerk erreichen kann, kann einen Denial of Service auslösen; Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- Apache Thrift Ruby-Bindings (thrift-Gem) vor 0.25.0
- Die Standardkonfiguration ist laut CNA-Eintrag nicht betroffen; betroffen gemäss CNA-Eintrag ist der Bereich 0 bis < 0.25.0
Behoben in
- Upgrade auf Apache Thrift 0.25.0 (thrift-Gem 0.25.0)
- Paketversion der eigenen Distribution im jeweiligen Advisory prüfen; Unbekannt.
Umgehung
- Der CVE-Eintrag nennt keinen Workaround über das Upgrade hinaus.
- Netzwerkzugriff auf den Thrift-Dienst bis zum Upgrade einschränken.
- Den Service-Supervisor so konfigurieren, dass abgestürzte Prozesse neu gestartet werden, um Ausfälle zu verkürzen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof-of-Concept bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Ruby-Anwendungen mit thrift-Gem ermitteln, einschliesslich transitiver Abhängigkeiten in Gemfile.lock-Dateien und Container-Images.
- Netzwerkexposition von Thrift-Diensten auf vertrauenswürdige Hosts beschränken.
- thrift-Gem im nächsten Wartungsfenster auf 0.25.0 aktualisieren.
- Dienste auf unerwartete Neustarts oder Ausfälle überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift 0.25.0 changelog apache.googlesource.com
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- RubyGems thrift gem versions rubygems.org
- OSV entry CVE-2026-96277 osv.dev
- OpenCVE CVE-2026-96277 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.