- Yama var
- Son 7 gün
- CWE-674
CVE-2026-120135
Apache Thrift Java TProtocolUtil.skip özyinelemeyi varsayılan olarak sınırlamıyor
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, Apache Thrift kullanan Java tabanlı sistemlerin çökmesine veya yavaşlamasına neden olabilir ve hizmet kesintisi riski taşır. Uzaktan ve kimlik doğrulama gerektirmeden istismar edilebildiği için öncelikli olarak güncellenmelidir.
ÖzetTürkçe
Apache Thrift'in Java bağlamalarında, TProtocolUtil.skip fonksiyonu varsayılan olarak özyineleme derinliğini sınırlamıyor ve bu durum kontrolsüz özyineleme (CWE-674) zafiyetine yol açıyor. Zafiyet, 0.24.0 öncesi Apache Thrift sürümlerini etkiliyor. Thrift kullanan ve dışarıdan gelen verileri bu fonksiyonla işleyen Java uygulamaları risk altında.
Saldırgan ne yapabilir?
Saldırgan, özel hazırlanmış veriyle hizmet reddi (DoS) durumu oluşturarak uygulamanın erişilemez hale gelmesine neden olabilir. Kullanılabilirlik etkisi yüksek olarak değerlendirilmektedir.
Kaynaktaki açıklama (İngilizce)
Uncontrolled Recursion vulnerability in Apache Thrift Java bindings.
This issue affects Apache Thrift: before 0.24.0.
Users are recommended to upgrade to version 0.24.0, which fixes the issue.
Ne yapmalı?
- Apache Thrift'i 0.24.0 veya üzeri bir sürüme yükseltin. Üretici
- Uygulamanızın Apache Thrift Java bağlamalarını kullanıp kullanmadığını ve bu sürümleri hangi bağımlılıklar üzerinden aldığını doğrulayın, ardından güncellemeyi uygulayın. Genel öneri
- Güncelleme yapılana kadar, dışarıdan gelen verileri TProtocolUtil.skip ile işleyen akışları kısıtlayın veya bu verilere erişimi ağ düzeyinde sınırlandırın. Genel öneri
Ek önlemler
- Uygulama sunucularında bellek ve iş parçacığı kullanımındaki ani artışları ve yığın taşması (StackOverflowError) hatalarını izleyin. Genel öneri
- Thrift gibi üçüncü taraf kütüphaneleri için bağımlılık envanteri tutun ve sürüm güncellemelerini düzenli takip edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Thrift | < 0.24.0 | 0.24.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.