CVE-2026-84445
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
gRPC-Go przed wersjami 1.82.2 i 1.83.2 pozwala serwerom utworzonym przez xds.NewGRPCServer() na przyjęcie RPC bez nagłówka :authority ani Host. Funkcja RouteAndProcess zakłada istnienie wartości authority i indeksuje pusty slice, co powoduje panic poza zakresem i zakończenie całego procesu serwera.
Ocena ryzyka
Zdalny klient może wywołać panic i zatrzymać cały serwer, powodując odmowę usługi. W niezabezpieczonych lub zwykłych wdrożeniach TLS atak nie wymaga uwierzytelnienia.
Rekomendacja
Zaktualizuj gRPC-Go do wersji 1.82.2 lub 1.83.2 (lub nowszej), które zawierają poprawkę tego błędu.
Inne podatności w gRPC-Go
Zobacz wszystkie- GHSA-hrxh-6v49-42gfWysokie
W bibliotece grpc-go zidentyfikowano wiele podatności wpływających na silnik autoryzacji xDS RBAC oraz implementację serwera transportowego HTTP/2. Podatności te mogą prowadzić do obejścia autoryzacji (tryb Fail-Open) podczas translacji zasad.
- CVE-2026-33186Krytyczne
Podatność w gRPC-Go przed wersją 1.79.3 pozwala na obejście autoryzacji z powodu nieprawidłowej walidacji nagłówka `:path` w HTTP/2. Serwer akceptował żądania z brakującym ukośnikiem na początku ścieżki (np. `Service/Method` zamiast `/Service/Method`), co powodowało, że reguły blokujące oparte na kanonicznych ścieżkach nie były stosowane. Atakujący może wykorzystać to do ominięcia polityk bezpieczeństwa, jeśli istnieje reguła domyślnie zezwalająca na dostęp.
- CVE-2026-84304Wysokie
gRPC-Go przed wersją 1.83.1 przechowuje każdą fragmentowaną ramkę HTTP/2 DATA jako osobny komunikat w buforze odbiorczym, co może prowadzić do nadmiernego zużycia pamięci przy milionach jednobajtowych ramek, nawet gdy ładunek pozostaje w granicach okien przepływu. Nieuwierzytelniony zdalny atakujący może wykorzystać równoległe strumienie do wyczerpania pamięci procesu i spowodować awarię lub zakończenie z powodu braku pamięci. Kompaktowanie bufora odbiorczego jest domyślnie włączone i można je tymczasowo kontrolować za pomocą GRPC_GO_EXPERIMENTAL_ENABLE_RECEIVE_BUFFER_COMPACTION. Problem naprawiono w wersji 1.83.1.
- CVE-2026-84303Średnie
gRPC-Go przed wersją 1.83.1 zawiera podatność w filtrze HTTP xDS RBAC, gdzie nazwy nagłówków nie są konwertowane na małe litery, mimo że przychodzące klucze metadanych są małymi literami. Polityka DENY używająca nazw mieszanych, takich jak X-Role lub User-Agent, nie dopasowuje się i zawodzi w trybie otwartym, pozwalając na żądania, które powinny być odrzucone. Ta sama niezgodność wielkości liter umożliwia obejście walidacji gRFC A41 dla :Scheme lub Grpc-Status oraz zapobiega przepisaniu Host na :authority. Problem został naprawiony w wersji 1.83.1.
Oryginalny opis (angielski, źródło NVD)
gRPC-Go is the Go language implementation of gRPC. Prior to 1.82.2 and 1.83.2, servers created with xds.NewGRPCServer() allow internal/transport/http2_server.go to accept an RPC containing neither the :authority header nor the Host header, while RouteAndProcess in internal/xds/server/routing.go assumes that an authority value exists and indexes the empty slice. A remote client that can complete transport connection establishment can trigger an index-out-of-bounds panic that is not recovered by the per-RPC goroutine and terminates the entire server process. In insecure or ordinary TLS deployments the request can be unauthenticated, while strict mTLS or ALTS deployments require valid transport credentials before the malformed RPC can reach the interceptor. This issue is fixed in versions 1.82.2 and 1.83.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS