GHSA-hrxh-6v49-42gf

Wysokie

Opublikowano: —Przetłumaczono: 27/07/2026(UTC)NVD NIST

Streszczenie

W bibliotece grpc-go zidentyfikowano wiele podatności wpływających na silnik autoryzacji xDS RBAC oraz implementację serwera transportowego HTTP/2. Podatności te mogą prowadzić do obejścia autoryzacji (tryb Fail-Open) podczas translacji zasad.

Ocena ryzyka

Ryzyko dla organizacji obejmuje nieautoryzowany dostęp do zasobów chronionych przez reguły RBAC, co może skutkować naruszeniem poufności i integralności danych.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki grpc-go do najnowszej wersji zawierającej poprawki bezpieczeństwa. Należy również przejrzeć konfigurację xDS RBAC i upewnić się, że nie działa w trybie Fail-Open.

Inne podatności w grpc-go

CVE-2026-33186Krytyczne
Podatność w gRPC-Go przed wersją 1.79.3 pozwala na obejście autoryzacji z powodu nieprawidłowej walidacji nagłówka `:path` w HTTP/2. Serwer akceptował żądania z brakującym ukośnikiem na początku ścieżki (np. `Service/Method` zamiast `/Service/Method`), co powodowało, że reguły blokujące oparte na kanonicznych ścieżkach nie były stosowane. Atakujący może wykorzystać to do ominięcia polityk bezpieczeństwa, jeśli istnieje reguła domyślnie zezwalająca na dostęp.

Oryginalny opis (angielski, źródło NVD)

Multiple security vulnerabilities have been identified and addressed in grpc-go affecting the xDS RBAC authorization engine (internal/xds/rbac) and the HTTP/2 transport server implementation (internal/transport). These vulnerabilities could result in: - Authorization Bypass (Fail-Open) when transla