Apache Thrift : une récursion non limitée peut menacer la disponibilité des services Java
Un avis Apache diffusé sur la liste oss-security du 31 octobre 2026 signale CVE-2026-120135, une vulnérabilité dans les composants Java d’Apache Thrift. Le message original est daté du 30 octobre à 23 h 13 UTC. Thrift sert à faire communiquer des applications écrites dans différents langages : une dépendance peu visible peut ainsi se retrouver au cœur d’un service.
Le défaut concerne une fonction de traitement des messages qui ne limite pas, par défaut, la profondeur de récursion. Ce type de mécanisme peut épuiser les ressources d’exécution et rendre un service indisponible. L’avis attribue une note CVSS 4.0 de 8,2 sur 10, avec un impact élevé sur la disponibilité, sans impact indiqué sur la confidentialité ou l’intégrité.
Les versions Java de libthrift antérieures à 0.24.0 sont concernées. Cette version contient le correctif ; la page officielle propose désormais la version stable 0.25.0, sortie le 30 septembre.
La publication ne rapporte pas de campagne d’exploitation active. Elle ne décrit pas non plus une prise de contrôle du serveur : il faut distinguer risque de panne et exécution de code. Pour les équipes concernées, la priorité est d’identifier la version réellement embarquée dans leurs applications et de déployer une version corrigée après vérification de compatibilité.
Sources :
