Apache Thrift PHP: Unkontrollierte Rekursion führt zu Denial of Service
Zusammenfassung
Die PHP-Bindings von Apache Thrift verfügen über keine Begrenzung der Rekursionstiefe. Betroffen sind Struct-Reader, die mit der Option --gen php:inlined generiert werden, sowie die Funktion TProtocol::skipBinary. Ein Angreifer, der einen Thrift-Endpunkt erreichen kann, kann tief verschachtelte Daten senden, um Ressourcen zu erschöpfen und den Dienst zu stören. Die CVSS-Bewertung setzt Netzwerkzugriff und fehlende Authentifizierung voraus, der Angriff hängt jedoch von bestimmten Bedingungen ab.
Betroffen
- Apache Thrift PHP-Bindings (Composer-Paket apache/thrift) vor 0.25.0
- Distributionspakete: Azure Linux 3 listet 0.24.0-1 als letzte betroffene Version; Debian listet Versionen bis 0.24.0-2 als betroffen
Behoben in
- Apache Thrift 0.25.0 (veröffentlicht am 30. September 2026)
- Korrigierte Paketversion für Debian oder Ubuntu: Unbekannt.
Umgehung
- Es ist kein vom Hersteller dokumentierter Workaround bekannt.
- Falls ein Update nicht sofort möglich ist, Thrift-Endpunkte vom Internet trennen und auf bekannte interne Clients beschränken.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt. Die CVE ist nicht im KEV-Katalog der CISA enthalten.
- CISA SSVC: Exploitation none, Automatable no.
- Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden.
- EPSS-Wert: 0.00426.
Unsere Empfehlung
- Inventar auf Apache Thrift und PHP-Anwendungen prüfen, die den generierten Code verwenden.
- PHP-Bibliothek auf Apache Thrift 0.25.0 oder neuer aktualisieren und prüfen, ob Distributionspakete eine korrigierte Version enthalten.
- Thrift-Dienste, die aus dem Internet erreichbar sind, priorisieren.
- Thrift-Endpunkte auf benötigte interne Clients beschränken und auf Ressourcenerschöpfung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache lists thread 33otcgbqd27wf6qq810q56znzbomnhg1 lists.apache.org
- Apache lists thread kv1zkwlt82lkkv20g29txr5pjnvo0pf8 lists.apache.org
- OSV BIT-thrift-2026-96289 osv.dev
- OSV DEBIAN-CVE-2026-96289 osv.dev
- OpenCVE CVE-2026-96289 app.opencve.io
- PSIRT CVE-2026-96289 psirt.com
- Linux Security: Apache Thrift 0.25.0 message memory limits linuxsecurity.com
- Wikipedia: Apache Thrift en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.