つみかさね

CVE-2026-43869

High(0)

CVE-2026-43869 — Apache Thrift 証明書ホスト名検証不備

公開日: 2026-06-04データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
libthriftApache Software Foundation< 0.23.0

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1使用している libthrift のバージョンを確認する
  2. 20.23.0 未満の場合、pom.xml を更新してアップグレードする
  3. 3TLS 接続を使用している Thrift サービスについて、証明書の検証設定も合わせて確認する

影響対象

Apache Thrift Java 利用者Thrift RPC でTLS通信を使用するサービス

補足

  • -Apache Thrift を使用するサービス間通信に TLS を利用している場合は特に優先してください
CVEApacheThriftJavaMavenTLS証明書検証

概要

Apache Thrift の TLS 実装において、証明書のホスト名と接続先ホストの照合（Certificate with Host Mismatch）が適切に行われない脆弱性が確認されました（CWE-297: Improper Validation of Certificate with Host Mismatch）。この脆弱性により、中間者攻撃（MITM）が可能になる可能性があります。

Apache Thrift は多言語対応の RPC フレームワークとして広く利用されています。Java（Maven）向けの libthrift が対象です。

CVSSベクトル

CVSS スコアは本稿執筆時点で NVD による評価が未完了のため、数値は未確定です。GHSA 分類は High です。

項目内容
深刻度High（GHSA 分類）
脆弱性種別証明書ホスト名検証不備（CWE-297）
攻撃経路ネットワーク（TLS 通信の中間者攻撃）
CWECWE-297

影響を受けるソフトウェア

製品名エコシステム影響バージョン
org.apache.thrift:libthriftMaven< 0.23.0

修正バージョンと回避策

  • 修正バージョン: libthrift 0.23.0 以降
  • Maven pom.xml の更新例: 
    <dependency>
  <groupId>org.apache.thrift</groupId>
  <artifactId>libthrift</artifactId>
  <version>0.23.0</version>
</dependency>
  • 回避策: ネットワーク境界を適切に制限し、信頼できるネットワーク内でのみ Thrift 通信を行う

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-6857Apache Camel Infinispan 信頼できないデータのデシリアライズCVSS 0

参考リンク

GHSA:https://github.com/apache/thrift/releases/tag/v0.23.0
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-43869
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。