CVE-2026-83663 in Thrift
요약
\~에 의해 VulDB • 2026. 10. 02.
Apache Thrift Go 바인딩에서 제어되지 않은 재귀(Uncontrolled Recursion) 취약점 발생.
Go 트랜스포트는 모두 버퍼링된 프레임의 읽기 작업을 수행하며, 해당 프레임이 페이로드 바이트를 제공하지 않을 경우 다음 프레임을 읽고 `Read` 메서드를 다시 호출하는 대신 루프를 돌리지 않습니다. 피어(peer)는 `TFramedTransport`(선언된 크기가 0인 경우)에서 4바이트 또는 `THeaderTransport`(프레임을 채우는 헤더 블록)에서 18바이트에 해당하는 이러한 프레임을 생성하므로, 재귀 깊이를 제한하는 요소가 없습니다. Go 스택 한계에 도달하면 `recover()`로 잡을 수 없는 치명적 오류(fatal error)가 발생하여 전체 프로세스가 종료됩니다.
이 문제는 Apache Thrift의 0.25.0 이전 버전에 영향을 미칩니다.
사용자는 해당 문제를 해결한 버전 0.25.0으로 업그레이드하는 것이 권장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.