🟠 CVE-2026-41608: High Luecke in Apache Thrift

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-41608 betrifft die Python-Bindings von Apache Thrift und ermöglicht es Angreifern, Denial-of-Service-Attacken durch Data Amplification durchzuführen. Die Schwachstelle resultiert aus einer unsachgemäßen Verarbeitung hochkomprimierter Daten und wird mit dem CVSS-Score 7.5 als High-Severity eingestuft.

Betroffene Systeme

• Apache Thrift vor Version 0.24.0
• Spezifisch: Python-Bindings
• Angriffsvektor: Netzwerkbasiert (keine Authentifizierung erforderlich)

Technische Details

Die Vulnerability liegt in der Data Amplification-Methodik der Python-Implementierung von Apache Thrift. Das RPC-Framework verarbeitet komprimierte Datenströme unzureichend validiert, was es einem entfernten Angreifer ermöglicht, speziell präparierte, hochkomprimierte Payloads zu senden.

Beim Dekomprimieren dieser Daten entsteht eine unkontrollierte Speicherverbrauch auf dem Server, da die dekomprimierten Daten die erwartete Größe massiv überschreiten können. Dies führt zu Ressourcenerschöpfung und damit zum Zusammenbruch betroffener Services, ohne dass gültige Authentifizierungsdaten notwendig sind.

Das fehlende Rate-Limiting und die unzureichende Input-Validierung bei der Dekompressionsfunktion sind die Root Causes dieser Sicherheitslücke.

Empfohlene Massnahmen

1. Sofortige Aktualisierung: Update auf Apache Thrift Version 0.24.0 oder höher durchführen
2. Netzwerk-Schutz: RPC-Endpoints mit WAF/IDS-Regeln zur Erkennung anomaler Komprimierungsverhältnisse schützen
3. Rate-Limiting: Implementierung von Größenlimits für eingehende komprimierte Daten
4. Monitoring: CPU- und Memory-Auslastung der Thrift-Services überwachen
5. Inventur: Alle Systeme mit Apache Thrift Python-Bindings identifizieren und dokumentieren

Bewertung

CVSS Score: 7.5 (High)

Patch-Status: Verfügbar

Priorität: Hoch – Ein Patch ist verfügbar und sollte zeitnah eingespielt werden, insbesondere für produktive Systeme mit Netzwerkzugang.

„`