„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-45112 betrifft Apache Thrift Java-Bindings und wird als „Allocation of Resources Without Limits or Throttling“ klassifiziert. Mit einem CVSS-Score von 7.5 handelt es sich um eine Schwachstelle mit hohem Schweregrad. Die Anfälligkeit ermöglicht es Angreifern über das Netzwerk, unbegrenzte Ressourcen zu allokieren, was zu Denial-of-Service-Bedingungen führen kann.
Betroffene Systeme
Die Schwachstelle betrifft Apache Thrift in den Versionen 0.19.0 bis 0.23.x. Folgende Komponenten sind betroffen:
- Apache Thrift Java-Bindings
- Versionsbereich: 0.19.0 – vor 0.24.0
Alle Systeme, die diese Versionen in Produktionsumgebungen einsetzen, sind potentiell anfällig.
Technische Details
Die Vulnerability liegt in der Ressourcenverwaltung der Java-Bindings von Apache Thrift. Das Framework implementiert keine ausreichende Begrenzung oder Drosselung bei der Allokation von Ressourcen. Angreifer können gezielt manipulierte RPC-Anfragen (Remote Procedure Calls) konstruieren, um den Server zu zwingen, unkontrollierte Mengen an Speicher oder andere Systemressourcen zu reservieren.
Der Angriffsvektor ist netzwerkbasiert, erfordert keine Authentifizierung und kann remote ausgeführt werden. Dies macht die Schwachstelle besonders kritisch für exponierte Thrift-Services.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf Apache Thrift Version 0.24.0 oder höher durchführen
- Netzwerksegmentierung: Thrift-Services durch Firewall-Regeln schützen
- Ressourcenlimits: Betriebssystem-Level Limits (ulimit, cgroups) implementieren
- Monitoring: Ressourcenverbrauch kontinuierlich überwachen
- Inventur: Alle eingesetzten Thrift-Versionen identifizieren und dokumentieren
Bewertung
CVSS v3.1 Score: 7.5 (High)
Das Risiko wird als erheblich eingestuft. Der einfache Angriffsvektor und fehlende Authentifizierungsanforderung, kombiniert mit der Möglichkeit eines Denial-of-Service, erfordern schnelle Abhilfemaßnahmen. Ein Patch ist verfügbar und sollte prioritär eingespielt werden.
„`