CVE-2026-41602
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
W implementacji języka Go dla TFramedTransport w Apache Thrift przed wersją 0.23.0 wykryto podatność na przepełnienie lub zawinięcie liczby całkowitej. Może to prowadzić do nieoczekiwanego zachowania lub potencjalnego zdalnego wykonania kodu.
Ocena ryzyka
Podatność może umożliwić atakującemu zdalne wykonanie kodu lub spowodować awarię aplikacji, co prowadzi do naruszenia bezpieczeństwa i dostępności usług.
Rekomendacja
Należy zaktualizować Apache Thrift do wersji 0.23.0 lub nowszej.
Inne podatności w Apache Thrift
Zobacz wszystkie- CVE-2026-58662Krytyczne
Nieprawidłowa walidacja ilości w danych wejściowych oraz odczyt poza zakresem w powiązaniach C++ Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-58023Krytyczne
Podatność w Apache Thrift c_glib bindings przed wersją 0.24.0 powoduje odczyt poza zakresem (out-of-bounds read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55971Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na przepełnienie bufora sterty w bindingu C++, co może prowadzić do awarii lub potencjalnie zdalnego wykonania kodu.
- CVE-2026-48144Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na nieprawidłową walidację certyfikatu z niezgodnością nazwy hosta w bindingu c_glib, co może umożliwić ataki typu man-in-the-middle.
- CVE-2026-66053Średnie
Podatność w Apache Thrift Python bindings przed wersją 0.24.0 polega na nieprawidłowej walidacji certyfikatu przy niezgodności nazwy hosta, co umożliwia ataki typu man-in-the-middle.
- CVE-2026-58389Wysokie
Podatność na alokację zasobów bez ograniczeń w powiązaniach Rust Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55970Średnie
Podatność w Apache Thrift C++ bindings przed wersją 0.24.0 powoduje odczyt poza zakresem bufora (buffer over-read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55969Wysokie
Podatność na przepełnienie lub zawijanie liczb całkowitych w powiązaniach C++, c_glib, Go, netstd, Delphi i Haxe Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55968Wysokie
Podatność na nieefektywną złożoność algorytmiczną i alokację zasobów bez ograniczeń w powiązaniach Node.js Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-49158Wysokie
Podatność na nieprawidłowe obsługiwanie silnie skompresowanych danych (amplifikacja danych) w powiązaniach Ruby Apache Thrift. Problem dotyczy wersji przed 0.24.0.
Oryginalny opis (angielski, źródło NVD)
Integer Overflow or Wraparound vulnerability in Apache Thrift TFramedTransport Go language implementation This issue affects Apache Thrift: before 0.23.0. Users are recommended to upgrade to version 0.23.0, which fixes the issue.