Apache Thrift: Ineffiziente Komplexität regulärer Ausdrücke in Lua-Bindings
Zusammenfassung
Apache Thrift vor 0.25.0 enthält eine Schwachstelle in den Lua-Bindings. Der Header-Parser THttpTransport:_parseHeaders prüft jede Header-Zeile mit einem Backtracking-Regulärausdruck, dessen Aufwand quadratisch mit der Eingabelänge wächst. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit präparierten HTTP-Headern die CPU-Ressourcen erschöpfen und einen Denial-of-Service auslösen. Das Problem ist nur relevant, wenn die Thrift-Lua-Bindings eingesetzt werden.
Betroffen
- Apache Thrift vor 0.25.0 (Lua-Bindings, Verarbeitung der THttpTransport-Header)
- Thrift kann indirekt als transitive Abhängigkeit eingebunden sein
Behoben in
- Apache Thrift 0.25.0 (Korrektur des Herstellers)
- Distributionspakete: Die korrigierten Versionen unterscheiden sich je nach Distributor. SUSE nennt 0.25.0-1 als korrigierte Version. Debian: Unbekannt.
Umgehung
- Der Hersteller dokumentiert keinen Workaround.
- Übergangsmassnahme (nicht aus einer Quelle): Zugriff auf Dienste, die die Thrift-Lua-Bindings verwenden, auf Netzwerk- oder Reverse-Proxy-Ebene einschränken und die Grösse der HTTP-Header begrenzen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gemeldet.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Kein bestätigter öffentlicher Exploit-Code gefunden.
Unsere Empfehlung
- Prüfen, ob ein Dienst Thrift mit den Lua-Bindings verwendet. Falls nicht, ist die Exposition begrenzt.
- Thrift in allen Sprachen und Abhängigkeiten inventarisieren, einschliesslich SBOMs und transitiver Abhängigkeiten.
- Auf Apache Thrift 0.25.0 oder die korrigierte Version des Distributors aktualisieren.
- Bis zur Korrektur den Netzwerkzugriff auf betroffene Dienste einschränken und auf ungewöhnliche CPU-Last oder langsame HTTP-Anfragen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Thrift mailing list advisory (thread 1) lists.apache.org
- Apache Thrift mailing list advisory (thread 2) lists.apache.org
- OSV record for CVE-2026-96292 (Debian) osv.dev
- SUSE CVE record for CVE-2026-96292 vulners.com
- Apache Thrift 0.25.0 security release overview linuxsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.