CVE-2026-120135: recursão sem limite padrão em TProtocolUtil.skip() do Apache Thrift Java

O que aconteceu e o que fazer

O aviso do projeto Apache Thrift, publicado em 30 de outubro de 2026 por Jens Geyer, descreve a CVE-2026-120135. Nas ligações Java, o método TProtocolUtil.skip() não limita por padrão a profundidade de recursão ao percorrer estruturas aninhadas, o que pode levar a consumo descontrolado de recursos e indisponibilidade. São afetadas as versões do libthrift (org.apache.thrift:libthrift) anteriores à 0.24.0, que corrige o problema. A gravidade foi classificada como importante, com CVSS 4.0 de 8.2, vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, com impacto alto apenas na disponibilidade.

Na prática, uma empresa deveria começar mapeando onde o libthrift é usado em seus serviços Java, incluindo dependências transitivas em builds Maven e Gradle, e quais endpoints recebem payloads Thrift de fontes não confiáveis. Em seguida, planejar a atualização para a 0.24.0 com testes de regressão em homologação. Enquanto a atualização não chega, pode-se rejeitar no gateway ou na borda mensagens acima de um tamanho e profundidade razoáveis, além de monitorar uso de pilha, memória, CPU e erros de estouro de pilha por serviço, com alertas para picos anormais. Um teste controlado com payloads aninhados em staging ajuda a confirmar o comportamento antes e depois da correção.

Como a consultoria pode ajudar

Diagnóstico da exposição: levantamento das aplicações Java que usam libthrift, dos pontos de entrada com dados externos e das versões em produção. Depois, proposta escopada para atualizar para a 0.24.0, com testes de regressão, limites na borda e monitoramento de disponibilidade.

Próximo passo

Se a sua equipe usa Apache Thrift em serviços Java, envie uma breve descrição do seu cenário, incluindo as versões em uso e onde os dados chegam de fora. A Wendelmaques responde com uma proposta escopada para o diagnóstico e a correção.