Apache Thrift Java client library versions 0.5.0 through 0.11.0 can bypass SASL negotiation isComplete validation in the org.apache.thrift.t

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• apache thrift0.5.0 ve sonrası · 0.11.0 dahil
• debian debian linux8.0
• f5 traffix signaling delivery controller5.0.0 ve sonrası · 5.1.0 dahil
• oracle global lifecycle management opatch11.2.0.3.23 öncesi
• oracle global lifecycle management opatch12.2.0.1.0 ve sonrası · 12.2.0.1.19 öncesi
• oracle global lifecycle management opatch13.9.4.0.0 ve sonrası · 13.9.4.2.1 öncesi
• oracle nosql database19.3.12 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Apache Software Foundation Apache Thrift

  • Apache Thrift 0.5.0 to 0.11.0etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2026-55971Apache Thrift: C++ ZLIB heap buffer overflow (write) in THeaderTransport::untransform()
  37İzleyin
• CVE-2016-5397The Apache Thrift Go client library exposed the potential during code generation for command injection due to using an external formatting t
  37İzleyin
• CVE-2026-48144Apache Thrift: c_glib TLS Client Missing Hostname Verification
  36İzleyin
• CVE-2026-58662Apache Thrift: C++ THeaderTransport::readString() info-header length bounds bypass
  34İzleyin
• CVE-2026-58389Apache Thrift: Rust binary protocol non-strict path missing string size limit
  34İzleyin
• CVE-2026-55969Apache Thrift, Apache Thrift, Apache Thrift, Apache Thrift, Apache Thrift, Apache Thrift: integer overflow in TProtocol::checkReadBytesAvailable()
  34İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Sertifika doğrulama hatası, bağlantıyı kesmek yerine sessizce yutuluyor. Çoğu zaman test ortamı için eklenen kod üretime taşınır.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Test ortamı için boş bırakıldı3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.