Apache Thrift: Nicht abgefangene Ausnahme in Perl-Bindings führt zu Denial of Service
Zusammenfassung
Die Perl-Bindings von Apache Thrift enthalten eine nicht abgefangene Ausnahme. Wenn eine einzelne Verbindung fehlschlägt, beendet der Perl-Server seine serve()-Schleife. Ein Angreifer aus dem Netzwerk kann dies ohne Authentifizierung und ohne Benutzerinteraktion auslösen und so einen Denial of Service verursachen. Betroffen sind Perl-Thrift-Server, die über ein erreichbares Netzwerk angesprochen werden.
Betroffen
- Apache Thrift vor 0.25.0, Perl-Bindings
- Distributionspakete von perl-thrift unterhalb der korrigierten Version (Azure Linux: unterhalb 0.25.0-1)
Behoben in
- Apache Thrift 0.25.0, die auch mehrere weitere Probleme in den Sprachbindings behebt
- Red Hat: perl-thrift 0.25.0-0.1.hum1
Umgehung
- Unbekannt: Es ist kein Workaround des Herstellers dokumentiert.
- Bis zum Patch den Netzwerkzugriff auf den Thrift-Dienst-Port einschränken.
- Perl-Thrift-Server unter einem Supervisor betreiben, der sie nach einem Fehler neu startet.
Ausnutzung
- Nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Exploit oder Proof of Concept bekannt.
- EPSS: 0.00426 (niedrig).
- CISA SSVC: Exploitation none, nicht automatisierbar.
Unsere Empfehlung
- Prüfen, ob Perl-Thrift-Server oder perl-thrift-Pakete im Einsatz sind.
- Im Rahmen der regulären Wartung auf Apache Thrift 0.25.0 oder ein Herstellerpaket mit dem Fix aktualisieren.
- Eskalieren, falls der Dienst aus dem Internet erreichbar oder geschäftskritisch ist.
- Den Dienst auf Abstürze oder Neustarts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- Red Hat advisory via Vulners (RHSA-2026:74369) vulners.com
- Azure Linux (CBL-Mariner) entry via Vulners vulners.com
- OSV/Bitnami entry for CVE-2026-96286 osv.dev
- Apache Thrift project website thrift.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.