CVE-2026-96990: Apache Thrift Erlang — чтение сообщения без ограничения размера
В Erlang-биндингах Apache Thrift обнаружена уязвимость выделения ресурсов без ограничений (CWE-уровень: Allocation of Resources Without Limits or Throttling). Проблема затрагивает модуль thrift_json_protocol, который считывает сообщение целиком, не ограничивая его размер. Уязвимость оценена в 8.2 (HIGH) и устранена в версии 0.25.0.
Подробности
Уязвимость относится к классу «Allocation of Resources Without Limits or Throttling» (выделение ресурсов без ограничений или регулирования). Она локализована в модуле thrift_json_protocol, входящем в состав Erlang-биндингов Apache Thrift. Суть проблемы в том, что при обработке входящего сообщения в формате JSON протокол считывает его целиком, не проверяя и не ограничивая размер. Это позволяет злоумышленнику, контролирующему отправляемые данные, передать сообщение произвольного объёма. Как следствие — неконтролируемое выделение памяти и других ресурсов на стороне сервиса, что может привести к отказу в обслуживании (DoS): исчерпанию памяти, замедлению работы или полному падению процесса. Уязвимы все версии Apache Thrift до 0.25.0. Затрагиваются именно Erlang-биндинги — проекты, использующие другие языковые реализации Thrift, под действие данной CVE не попадают.Что делать
Основная и рекомендованная производителем мера — обновление Apache Thrift до версии 0.25.0, в которой уязвимость устранена. Если обновление невозможно в короткие сроки, следует рассмотреть компенсирующие меры: - ограничить сетевой доступ к сервисам, использующим Erlang-биндинги Thrift, оставив только доверенные источники; - применять промежуточные прокси или шлюзы, ограничивающие максимальный размер входящих сообщений; - контролировать потребление памяти и настроить оповещения о аномальном росте; - по возможности временно отказаться от приёма JSON-сообщений через уязвимый протокол. Важно понимать, что митигации носят временный характер и не заменяют установку исправленной версии.Итог
CVE-2026-96990 — серьёзная уязвимость отказа в обслуживании в Erlang-биндингах Apache Thrift, вызванная отсутствием ограничения размера считываемого JSON-сообщения. При критичности 8.2 (HIGH) она представляет реальный риск для сервисов, доступных из недоверенных сетей. Единственное надёжное решение — обновление до Apache Thrift 0.25.0; до этого стоит применить описанные выше компенсирующие меры.Источник: CVE Project (cvelistV5)