Cyber ·
CVE-2026-120135: Apache Thrift não limita por padrão a recursão em Java TProtocolUtil.skip()
Aviso de segurança sobre falha de recursão descontrolada nas ligações Java do Apache Thrift, anterior à versão 0.24.0, com gravidade importante e CVSS 4.0 de 8.2. O impacto citado é de disponibilidade.
O aviso CVE-2026-120135, publicado no feed oss-sec em 30 de outubro de 2026 por Jens Geyer, descreve que as ligações Java do Apache Thrift não limitam por padrão a profundidade de recursão do método TProtocolUtil.skip(). Segundo o texto, a falha pode causar impacto à disponibilidade. Ela afeta o pacote org.apache.thrift:libthrift anterior à versão 0.24.0, e a correção está nessa versão. A pontuação CVSS 4.0 informada é 8.2 (alta), com vetor de rede, sem privilégios e sem interação do usuário, com impacto de disponibilidade alto e sem impacto de confidencialidade ou integridade. O crédito da descoberta é atribuído a Yu Bao.
Para organizações que usam Thrift em serviços Java, a recomendação do aviso é atualizar a biblioteca para a versão 0.24.0 ou superior. Quem não usa essas ligações não é afetado pelo que o texto descreve. Este item é apresentado apenas como informação de segurança; a Rota Nacional não oferece correção para bibliotecas de terceiros.
A fonte original é a lista oss-sec, disponível no endereço indicado no próprio feed. Para verificar, confira o texto integral do aviso, a versão da dependência libthrift no projeto e o registro oficial de vulnerabilidades antes de agir.