Apache Thrift Erlang-Bindings: Ressourcenzuteilung ohne Limite im JSON-Protokoll
Zusammenfassung
Die Erlang-Bindings von Apache Thrift vor 0.25.0 verwenden das Modul thrift_json_protocol, das eine vollständige Nachricht ohne Grössenbegrenzung einliest. Ein Angreifer, der Nachrichten an einen betroffenen Erlang-Thrift-Dienst senden kann, kann Speicher- oder Rechenressourcen erschöpfen und einen Denial of Service auslösen. Gemäss CVSS-Vektor ist keine Authentifizierung nötig, die Angriffsbedingungen hängen jedoch davon ab, ob der Dienst für den Angreifer erreichbar ist.
Betroffen
- Apache Thrift vor 0.25.0 (Erlang-Bindings, thrift_json_protocol)
- Betroffener Bereich laut CNA: 0 bis < 0.25.0
- Distributionspakete: Azure Linux 3 listet thrift 0.24.0-1 als letzte betroffene Version
- Debian: betroffene Versionen laut OSV aufgeführt, korrigierte Version unbekannt
Behoben in
- Apache Thrift 0.25.0
- openSUSE: libthrift-0_25_0-0.25.0-1.1 (laut Aggregator)
- Debian, Ubuntu und andere Distributionen: Unbekannt.
Umgehung
- Vom Hersteller keine Workarounds dokumentiert.
- Falls ein Update verzögert wird, den Kreis der Clients einschränken, die den Erlang-Thrift-Endpunkt erreichen können, und Nachrichtengrössen auf Netzwerk- oder Proxy-Ebene begrenzen (Empfehlung aus der Recherche, nicht vom Hersteller).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
- Kein öffentlicher Exploit-Code bestätigt.
Unsere Empfehlung
- Erlang-basierte Thrift-Dienste sowie deren Apache-Thrift- bzw. Distributionspaketversionen inventarisieren.
- Auf Apache Thrift 0.25.0 oder ein Distributionspaket mit dem Fix aktualisieren.
- Den Zugriff auf betroffene Endpunkte bis zur Aktualisierung auf vertrauenswürdige Clients beschränken.
- NVD und die Apache-Advisory erneut prüfen, da der Eintrag noch analysiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread 1 lists.apache.org
- Apache mailing list thread 2 lists.apache.org
- NVD record via Vulners vulners.com
- OSV Debian entry osv.dev
- OSV Apache Thrift entry osv.dev
- OSV Azure Linux entry osv.dev
- Apache Thrift CHANGES.md apache.googlesource.com
- OpenCVE CVE-2026-96990 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.