Apache Thrift の C++ バインディングに境界外読み取り（0.24.0 で修正）

Critical（CVSS 9.1）に分類されるApache Apache Thriftの脆弱性です。Apache Thrift の C++ バインディングに、入力で指定された数量（長さやサイズ）の検証が不十分な欠陥と、それに起因する境界外読み取りがある。Thrift は RPC のシリアライズ形式とサーバ／クライアントのコードを生成する仕組みで、受け取ったバイト列の長さフィールドを信用してしまう類の問題は、そのまま「相手から送られたデータでプロセスを壊せる」ことにつながる。影響範囲は 0.24.0 より前のすべてで、修正版は 0.24.0 である。NVD の CPE も同じ範囲を示す。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）は CVSS 3.1 で 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H）、CNA の Apache（security@apache.org）は CVSS 4.0 で 8.7 High（AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N）としている。Apache 側は影響を可用性のみ（VA:H）と見ており、NVD は機密性の高い影響（C:H）も認めている。CWE は CWE-125（境界外読み取り）と CWE-1284（数量指定の検証不備）の 2 つ。CISA KEV には未収載で、悪用が確認されたという公表情報も無い。公開は 2026 年 7 月 27 日、NVD の vulnStatus は Analyzed。

対象は Thrift の C++ バインディングを使っているプロセスなので、判定は「どこで Thrift の C++ 実装をリンクしているか」の洗い出しになる。自前ビルドなら、ビルド定義（CMakeLists.txt、conanfile、vcpkg.json、Bazel の依存宣言など）に書かれた Thrift のバージョン指定を見る。ディストリのパッケージで入れているなら dpkg -l や rpm -qa で libthrift 系のパッケージ版を確認する。0.24.0 より前ならすべて該当なので、版が古いこと自体が判定条件になり、細かい範囲の切り分けは不要である。見落としやすいのは、Thrift をアプリケーションの直接依存として書いていない場合、つまり別のライブラリやミドルウェア（HBase や Hive のクライアント、監視エージェント、社内の RPC ラッパなど）が内部で Thrift の C++ 実装を抱えている場合である。コンテナイメージに対して SBOM を取るか、共有ライブラリの依存（ldd）から libthrift を辿ると漏れが減る。すぐに更新できない場合は、Thrift のサーバが信頼できないネットワークから直接叩ける状態を解消するのが現実的な線で、セキュリティグループやネットワークポリシーで RPC ポートへの到達を必要な相手だけに限定し、相互 TLS などで発信元を絞る。攻撃の前提が「細工したバイト列を送れること」なので、送れる相手を減らすことが効く。完了条件は、（1）Thrift の C++ 実装を含む全プロセスが 0.24.0 以降でビルドされていること、（2）依存として間接的に抱えている分も含めて 0.24.0 未満が SBOM に残っていないこと、この 2 点を確認できた時点である。KEV 未収載なので期限に追われる話ではないが、外部に露出した RPC エンドポイントから優先する。

Apache Apache Thrift を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58662）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。