🔴 CVE-2026-58662: Critical Luecke in Apache Thrift

„`html

Zusammenfassung

CVE-2026-58662 beschreibt eine kritische Sicherheitslücke in den C++ Bindings von Apache Thrift. Die Vulnerabilität ermöglicht einen Out-of-bounds Read durch mangelhafte Validierung der Eingabemengen. Mit einem CVSS-Score von 9.1 handelt es sich um eine kritische Schwachstelle mit hohem Risikopotenzial.

Betroffene Systeme

Folgende Versionen von Apache Thrift sind betroffen:

• Apache Thrift vor Version 0.24.0
• Primär: C++ Language Bindings

Systeme, die Apache Thrift als RPC-Framework (Remote Procedure Call) zur Datenserialiserung einsetzen, sind potenziell gefährdet. Dies betrifft besonders produktive Umgebungen mit netzwerkbasierter Thrift-Kommunikation.

Technische Details

Die Vulnerabilität liegt in der unzureichenden Validierung von Eingabeparametern in den C++ Bindings. Ein Angreifer kann speziell manipulierte Thrift-Nachrichten über das Netzwerk versenden, die zu einem Out-of-bounds Read führen. Dies ermöglicht:

• Auslesen sensibler Speicherbereiche
• Informationsoffenbarung
• Potenzielle Dienstunterbrechung

Der Angriffsvektor ist netzwerkbasiert (CVSS:3.1/AV:N), was bedeutet, dass die Lücke remote ohne Authentifikation ausgenutzt werden kann.

Empfohlene Massnahmen

• Sofort-Update: Migration auf Apache Thrift Version 0.24.0 oder höher durchführen
• Netzwerk-Segmentierung: Thrift-Services hinter Firewalls/WAF schützen
• Monitoring: Ungewöhnliche Verbindungsmuster überwachen
• Inventur: Alle eingesetzten Thrift-Instanzen identifizieren und dokumentieren

Bewertung

CVSS-Score: 9.1 (Critical)
Verfügbarkeit: Patch vorhanden
Handlungsdringlichkeit: Kritisch – Sofortmassnahmen erforderlich

Das Patch ist verfügbar und sollte prioritär eingespielt werden.

„`