Apache Thrift Perl-Bindings: Ineffiziente algorithmische Komplexität (quadratisch)
Zusammenfassung
Die Perl-Bindings von Apache Thrift schneiden bei jedem Aufruf den verbleibenden Puffer im FramedTransport-Lesepfad und im TLS-Socket-Schreibpfad neu zu, wodurch die Verarbeitungszeit quadratisch mit der Datenmenge wächst. Ein netzwerkseitiger Angreifer ohne Authentifizierung kann über manipulierten Datenverkehr an einen Perl-Dienst, der Thrift spricht, die CPU-Ressourcen erschöpfen, was zu einem Denial of Service führt. Betroffen sind nur Perl-Anwendungen, die das Thrift-CPAN-Modul verwenden; der Thrift-Kern ist vom Fehler nicht betroffen.
Betroffen
- Apache Thrift vor 0.25.0 (Perl-Bindings, CPAN-Paket Thrift)
- Distributionspakete: Debian bookworm bis 0.24.0-2; Azure Linux 3 bis 0.24.0-1
Behoben in
- Apache Thrift 0.25.0
- Korrektur in der Distribution: Unbekannt. Prüfen Sie die Advisory Ihrer Linux-Distribution.
Umgehung
Unbekannt. Es wurde kein Workaround vom Hersteller veröffentlicht.
Ausnutzung
- CISA-SSVC-Bewertung von Apache: keine Ausnutzung, nicht automatisierbar, partielle technische Auswirkung
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept
Unsere Empfehlung
- Inventarisieren Sie Perl-Anwendungen, die vom Thrift-CPAN-Modul abhängen.
- Prüfen Sie, ob diese Dienste Verbindungen aus nicht vertrauenswürdigen Netzen annehmen, und beschränken Sie den Zugriff auf vertrauenswürdige Hosts.
- Aktualisieren Sie auf Apache Thrift 0.25.0 oder auf das korrigierte Paket Ihrer Distribution.
- Überwachen Sie die CPU-Auslastung der betroffenen Dienste auf ungewöhnliche Last.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift CVE record thread (Apache mailing list) lists.apache.org
- OSV: DEBIAN-CVE-2026-96287 osv.dev
- OSV: AZL-105944 (Azure Linux 3) osv.dev
- Apache announce list www.mail-archive.com
- OpenCVE: CVE-2026-96287 app.opencve.io
- NixOS nixpkgs issue 569828 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.