🔴 《严重安全漏洞：CVE-2026-48144》

CVSS 评分: 严重（9.1）　　状态: Received　　发布时间: 2026-07-27

漏洞简介

CVE-2026-48144 是一个存在于 Apache Thrift 的 c_glib 绑定（c_glib bindings）中的安全漏洞，属于 证书与主机名不匹配的验证不当（Improper Validation of Certificate with Host Mismatch）问题，对应 CWE-297 分类。

该漏洞的核心在于，当使用 Apache Thrift 的 c_glib 绑定进行 TLS/SSL 通信时，系统未能正确验证服务器证书中的主机名是否与正在连接的实际主机名匹配。这意味着，即使攻击者提供的证书是合法签发的（例如由受信任的 CA 签发），但如果该证书并非颁发给目标服务器，客户端仍然可能错误地接受该连接，从而无法有效防止中间人攻击（Man-in-the-Middle, MITM）。

影响范围

  • 受影响软件：Apache Thrift
  • 受影响版本：所有 0.24.0 之前 的版本（including 0.24.0 之前的全部版本）
  • 修复版本：Apache Thrift 0.24.0

风险分析

根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N），该漏洞具有以下风险特征：

  • 攻击复杂度较高（AC:H）：攻击者需要具备一定的条件（例如能够拦截或重定向网络流量，并持有合法但主机名不匹配的证书）才能利用此漏洞。
  • 无需权限与用户交互（PR:N/UI:N）：攻击者无需提前获取系统权限，也无需诱导用户执行任何操作。
  • 影响机密性与完整性（VC:H/VI:H）：成功利用该漏洞后，攻击者可以：
    • 窃听通信内容：由于证书验证失效，攻击者可以解密客户端与服务器之间的加密流量，获取敏感数据（如登录凭证、业务数据等）。
    • 篡改通信数据：攻击者可以在中间人位置修改客户端与服务器之间传输的数据，注入恶意内容或破坏数据完整性。
  • 可用性不受影响（VA:N）：该漏洞不直接导致服务拒绝（DoS）或系统崩溃。

总结：该漏洞主要威胁使用 Apache Thrift c_glib 绑定进行安全通信的应用程序。如果攻击者能够成功实施中间人攻击（例如在公共 Wi-Fi 或受控网络环境中），则可能导致数据泄露、身份伪造或数据篡改等严重后果。官方强烈建议所有受影响用户尽快升级至 Apache Thrift 0.24.0 版本以修复此问题。

🔍 技术细节

字段 值
CVE ID CVE-2026-48144
CVSS 评分 9.1 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-297
发布时间 2026-07-27
最后更新 2026-07-27
状态 Received
数据来源 security@apache.org

🔗 参考链接