Apache Thrift Erlang-Bindings: Unkontrollierte Rekursion führt zu unbegrenztem Speicherverbrauch
Zusammenfassung
Apache Thrift vor 0.25.0 weist in den Erlang-Bindings eine Schwachstelle durch unkontrollierte Rekursion und unbegrenzte Ressourcenallokation auf. Generierter Erlang-Code, der Structs einliest, verfügt über keine Begrenzung der Rekursionstiefe, weshalb präparierte Eingaben den Speicher erschöpfen können. Der CVSS-4.0-Wert beträgt 8.2 für Angriffe über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion, wobei die Auswirkungen auf die Verfügbarkeit beschränkt sind. Die Gefährdung hängt davon ab, ob ein auf Thrift basierender Erlang-Dienst Eingaben aus unvertrauenswürdigen Netzwerken annimmt.
Betroffen
- Apache Thrift Erlang-Bindings: alle Versionen vor 0.25.0
Behoben in
- Apache Thrift 0.25.0 (Korrektur des Herstellers)
- Distributionspakete unterscheiden sich, z. B. Red Hat 0.25.0-0.1.hum1 und openSUSE 0.25.0-1.1. Für andere Distributionen unbekannt; prüfen Sie den Tracker Ihrer Distribution.
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Falls keine Erlang-Dienste mit Thrift eingesetzt werden, ist die Gefährdung gering.
- Falls solche Dienste eingesetzt werden, schränken Sie den Netzwerkzugriff darauf bis zur Aktualisierung ein.
Ausnutzung
- Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code bestätigt.
- Laut einem Aggregator nicht im Katalog CISA KEV gelistet; nicht direkt überprüft.
- EPSS 0.00426 (Tenable), was auf eine geringe Ausnutzungswahrscheinlichkeit hinweist.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Prüfen Sie Software-Inventare auf Erlang-Anwendungen, die Thrift enthalten.
- Aktualisieren Sie Thrift auf 0.25.0 oder auf die korrigierte Version Ihrer Distribution.
- Aktualisieren Sie alle Thrift-Komponenten gemeinsam, einschliesslich CVE-2026-94650 (C GLib) und CVE-2026-96287 (Perl), die im selben Release behoben sind.
- Beschränken Sie und überwachen Sie die Exposition von aus dem Internet erreichbaren Erlang-Thrift-Diensten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OSV: BIT-thrift-2026-96288 osv.dev
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- Tenable: CVE-2026-96288 www.tenable.com
- Vulners: CVELIST CVE-2026-96288 vulners.com
- Red Hat RHSA-2026:74369 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.