Apache Thrift の c_glib バインディングに境界外読み取り

Critical（CVSS 9.1）に分類されるApache Apache Thriftの脆弱性です。Apache Thrift の c_glib バインディング（GLib を使う C 言語向けの実装）に境界外読み取りがある。影響範囲は 0.24.0 より前のすべてで、修正版は 0.24.0 である。NVD の CPE も同じ範囲を示す。同じ 0.24.0 で c_glib 側の別の欠陥（証明書のホスト名検証不備）も直っているため、c_glib を使う環境は両方まとめて 0.24.0 で片付けることになる。CVSS の評価は評価元で大きく食い違っている。NVD（Primary、nvd@nist.gov）は CVSS 3.1 で 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H）としているが、CNA の Apache（security@apache.org）は CVSS 4.0 で 6.9 Medium（AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:L/SC:N/SI:N/SA:N）としており、Critical と Medium という開きがある。Apache は情報漏えいと可用性への影響をいずれも限定的（VC:L / VA:L）と見ており、NVD は両方に高い影響を認めている。境界外読み取りである以上、実害は隣接するメモリに何が置かれているかに左右されるので、この開きは観点の違いとして受け止め、自分の使い方に近い方で優先度を決めるのが実務的である。CWE は CWE-125（境界外読み取り）。CISA KEV には未収載で、悪用の確認情報も無い。NVD の vulnStatus は Analyzed。

判定はまず c_glib バインディングを実際に使っているかどうかで、ここが分かれ目になる。Thrift は言語ごとにバインディングが分かれており、Java や Python、Go の実装だけを使っている環境はこの CVE の対象ではない。C で書いたデーモンやエージェントが Thrift で通信している、あるいは GLib ベースの組み込み寄りのコードで Thrift を使っているところが対象である。確認は、ビルド定義に thrift の c_glib（configure の --with-c_glib や CMake の WITH_C_GLIB）を有効にしてビルドした形跡があるか、実行ファイルが libthrift_c_glib をリンクしているか（ldd の出力に libthrift_c_glib が現れるか）を見る。ディストリのパッケージなら libthrift-c-glib 系のパッケージが入っているかを確認する。見落としやすいのは、自作のエージェントを昔ビルドしたまま配布していて、ソースツリーもビルド環境も残っていないという状況で、この場合は該当バイナリの棚卸しから始める必要がある。すぐに更新できない場合の緩和策は告知に示されていないので、経路を閉じる方向で考える。攻撃には細工したデータを Thrift の口に送り込めることが必要なので、RPC ポートへの到達をセキュリティグループやネットワークポリシーで絞り、信頼できない相手からの接続を止めておく。完了条件は、（1）c_glib を使う全バイナリが 0.24.0 以降でビルドされていること、（2）同じ 0.24.0 で直っている c_glib の証明書検証不備（CVE-2026-48144）も同時に解消したことを確認できた時点である。KEV 未収載なので期限に追われる話ではないが、外部から到達できる口を持つものから順に片付ける。

Apache Apache Thrift を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58023）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。