Apache Thrift C++ バインディングのヒープバッファオーバーフロー（CVSS 9.8・0.24.0 で修正）

Critical（CVSS 9.8）に分類されるapache Thriftの脆弱性です。Apache Thrift の C++ バインディングにヒープベースのバッファオーバーフロー（CWE-122）がある。影響を受けるのは 0.24.0 より前の全バージョンで、Apache は 0.24.0 への更新を推奨している。NVD 掲載の CVSS 3.1 基本値は 9.8（Critical）、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、**ネットワーク越しに認証なし・利用者の操作なしで到達し得る**という評価である。同じ CVE に CVSS 4.0 の評価も付いており、そちらは 9.3（Critical）。NVD の vulnStatus は Analyzed（2026-07-28 更新）。2026年8月16日時点で CISA KEV カタログには収載されていない（カタログ版 2026.08.14 で確認）。Thrift は RPC のフレームワークで、通信の相手から送られてくるシリアライズ済みデータを解く箇所が攻撃面になる。したがって危険度は「Thrift を使っているか」ではなく「**信頼できない相手から Thrift のメッセージを受ける口があるか**」で決まる。

確認は3段階で行う。第一に、自分のコードが Thrift の **C++ バインディング**を使っているかを見る。この CVE は C++ バインディング（および関連する C 系のバインディング群で別CVEが同時に公開されている）に対するもので、Java や Go や Python のバインディングだけを使っているなら、この CVE の対象ではない。ビルド設定とリンクしているライブラリを実際に確認すること。第二に、そのサービスが誰からの接続を受けるかを見る。同一クラスタ内部のサービス間通信だけなら、攻撃者はまず内部に足場を作る必要がある。逆にインターネットや取引先ネットワークから直接 Thrift のポートを開けているなら、CVSS の AV:N/PR:N がそのまま自組織の条件に当てはまる。第三に、Thrift のバージョンを実測する。ソースからビルドしている場合はビルド時に取り込んだバージョン、パッケージ経由なら配布元のバージョンを見る。**依存関係の奥に入っているケースが多い**ので、直接依存だけを見て「使っていない」と判断しないこと。対処は 0.24.0 以上への更新である。すぐに更新できない場合の緩和は、Thrift のエンドポイントへの到達範囲をネットワーク側で絞ることと、前段でメッセージサイズの上限を設けることだが、いずれも根本対策ではない。

apache Thrift を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-55971）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。